CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. GIOVANNI PITRUZZELLA
présentées le 20 janvier 2022 (1)
Affaires jointes C‑37/20 et C‑601/20
WM (C‑37/20)
Sovim SA (C‑601/20)
contre
Luxembourg Business Registers
[demandes de décision préjudicielle formées par le tribunal d’arrondissement de Luxembourg (Luxembourg)]
« Renvoi préjudiciel – Prévention de l’utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme – Directive (UE) 2015/849 – Article 30, paragraphes 5 et 9 – Registre des bénéficiaires effectifs – Directive (UE) 2018/843 – Article 1er, paragraphe 15, sous c) et g) – Accès de tout membre du grand public aux informations sur les bénéficiaires effectifs – Validité – Charte des droits fondamentaux de l’Union européenne – Articles 7 et 8 – Principe de transparence – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5, paragraphe 1, sous a) à c) et f) – Dérogations à l’accès au registre des bénéficiaires effectifs – Conditions – Notions de “circonstances exceptionnelles”, de “risque” et de “risque disproportionné” – Preuve »
1. Quel est le juste équilibre entre, d’une part, l’exigence de transparence en ce qui concerne les bénéficiaires effectifs et les structures de contrôle des sociétés, qui joue un rôle fondamental dans le cadre de la prévention du blanchiment de capitaux et du financement du terrorisme et, d’autre part, le respect des droits fondamentaux des personnes concernées, à savoir les bénéficiaires effectifs, et, notamment, de leurs droits au respect de la vie privée et à la protection des données à caractère personnel ?
2. Telle est, en substance, la question fondamentale qui se pose à la Cour dans les deux affaires objet des présentes conclusions ayant trait à deux demandes de décision préjudicielle, introduites par le tribunal d’arrondissement de Luxembourg (Luxembourg).
3. Ces deux demandes portent sur la validité et sur l’interprétation de l’article 30, paragraphes 5 et 9, de la directive (UE) 2015/849 (2), telle que modifiée par la directive (UE) 2018/843 (3) (ci-après la « directive 2015/849 »). Cette directive a mis en place un régime d’accès public aux registres des bénéficiaires effectifs des sociétés et autre entités juridiques constituées sur le territoire des États membres qui donne, en principe, la possibilité à tout membre du grand public d’avoir accès à certaines des informations concernant les bénéficiaires effectifs contenues dans ces registres sans qu’il soit nécessaire de prouver un intérêt quelconque.
4. La juridiction de renvoi s’interroge sur la validité de ce régime à l’aune des droits fondamentaux au respect de la vie privée et familiale et à la protection des données à caractère personnel, consacrés respectivement aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »). Elle s’interroge également sur la validité et sur la portée du système d’exceptions audit accès public, mis en place par ladite directive.
5. Dans ce contexte, la Cour est également appelée à prendre position sur l’interaction entre ledit régime d’accès public et plusieurs dispositions du règlement (UE) 2016/679 (4).
I. Le cadre juridique
A. Le droit de l’Union
1. Les directives 2015/849 et 2018/843
6. Aux termes du considérant 2 de la directive 2015/849, « [l]a solidité, l’intégrité et la stabilité des établissements de crédit et des établissements financiers, ainsi que la confiance dans l’ensemble du système financier, pourraient être gravement compromises par les tentatives des criminels et de leurs complices de masquer l’origine des produits du crime ou d’alimenter le terrorisme par des flux d’argent licite ou illicite ». Il est ainsi nécessaire, conformément au considérant 12 de cette directive, « d’identifier toute personne physique qui possède une entité juridique ou exerce le contrôle sur celle‑ci ».
7. Aux termes du considérant 14 de la directive 2015/849, « [l]a nécessité de disposer d’informations exactes et actualisées sur le bénéficiaire effectif joue un rôle déterminant pour remonter jusqu’aux criminels, qui pourraient autrement masquer leur identité derrière une structure de société. Les États membres devraient donc veiller à ce que les entités constituées sur leur territoire conformément au droit national recueillent et conservent des informations suffisantes, exactes et actuelles sur leurs bénéficiaires effectifs, outre les informations de base telles que le nom et l’adresse de la société, et la preuve de constitution et de propriété légale. En vue de renforcer la transparence afin de lutter contre le détournement d’entités juridiques, les États membres devraient veiller à ce que les informations sur les bénéficiaires effectifs soient conservées dans un registre central tenu en dehors de la société, dans le plein respect du droit de l’Union. [...] »
8. Dans ce contexte, l’article 3, point 6, de la directive 2015/849 définit la notion de « bénéficiaire effectif » aux fins de cette directive comme « la ou les personnes physiques qui, en dernier ressort, possèdent ou contrôlent le client et/ou la ou les personnes physiques pour lesquels une transaction est exécutée, ou une activité réalisée, et qui comprend au moins :
a) dans le cas des sociétés :
i) la ou les personnes physiques qui, en dernier ressort, possèdent ou contrôlent une entité juridique, du fait qu’elles possèdent directement ou indirectement un pourcentage suffisant d’actions ou de droits de vote ou d’une participation au capital dans cette entité [...] » (5)
9. Aux termes de l’article 30 de la directive 2015/849 (6) :
« 1. Les États membres veillent à ce que les sociétés et autres entités juridiques constituées sur leur territoire aient l’obligation d’obtenir et de conserver des informations adéquates, exactes et actuelles sur leurs bénéficiaires effectifs, y compris des précisions sur les intérêts effectifs détenus. Les États membres veillent à ce que toute infraction au présent article fasse l’objet de mesures ou de sanctions efficaces, proportionnées et dissuasives.
[...]
3. Les États membres veillent à ce que les informations visées au paragraphe 1 soient conservées dans un registre central dans chaque État membre [...]
4. Les États membres exigent que les informations conservées dans le registre central visé au paragraphe 3 soient adéquates, exactes et actuelles, et mettent en place des mécanismes à cet effet [...]
5. Les États membres veillent à ce que les informations sur les bénéficiaires effectifs soient accessibles dans tous les cas :
a) aux autorités compétentes et aux [cellules de renseignement financier (CRF)], sans aucune restriction ;
b) aux entités assujetties, dans le cadre de la vigilance à l’égard de la clientèle conformément au chapitre II ;
c) à tout membre du grand public.
Les personnes visées au point c) sont autorisées à avoir accès, au moins, au nom, au mois et à l’année de naissance, au pays de résidence et à la nationalité du bénéficiaire effectif, ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus.
Les États membres peuvent, dans des conditions à déterminer par le droit national, donner accès à des informations supplémentaires permettant l’identification du bénéficiaire effectif. Ces informations supplémentaires comprennent, au moins, la date de naissance ou les coordonnées, conformément aux règles en matière de protection des données.
5 bis. Les États membres peuvent décider de conditionner la mise à disposition des informations conservées dans les registres nationaux visés au paragraphe 3 à une inscription en ligne et au paiement d’une redevance, qui n’excède pas les coûts administratifs liés à la mise à disposition des informations, y compris les coûts de maintenance et de développement du registre.
[...]
9. Dans des circonstances exceptionnelles à définir en droit national, lorsque l’accès visé au paragraphe 5, premier alinéa, [sous] b) et c), exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est autrement frappé d’incapacité, les États membres peuvent prévoir des dérogations concernant l’accès à tout ou partie des informations sur les bénéficiaires effectifs au cas par cas. Les États membres veillent à ce que ces dérogations soient accordées sur la base d’une évaluation détaillée de la nature exceptionnelle des circonstances. Le droit d’obtenir une révision administrative de la décision de dérogation et le droit à un recours juridictionnel effectif sont garantis. Un État membre ayant accordé des dérogations publie des données statistiques annuelles sur le nombre de dérogations accordées ainsi que sur les raisons avancées et communique ces données à la Commission [européenne].
Les dérogations accordées conformément au premier alinéa du présent paragraphe ne s’appliquent pas aux établissements de crédit et aux établissements financiers, ou aux entités assujetties visées à l’article 2, paragraphe 1, point 3, [sous] b), lorsqu’il s’agit de fonctionnaires.
[...] »
10. Aux termes de l’article 41, paragraphe 1, de la directive 2015/849 (7), « [l]e traitement des données à caractère personnel au titre de la présente directive est soumis au [RGPD] ».
11. Aux termes de l’article 43, paragraphe 1, de la directive 2015/849, « [l]e traitement de données à caractère personnel sur la base de la présente directive aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme visés à l’article 1er est considéré comme une question d’intérêt public au titre du [RGPD] ».
2. Le RGPD
12. L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », dispose, à son paragraphe 1 :
« Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; [...] (limitation des finalités) ;
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...]
f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité). »
13. L’article 25 de ce règlement, intitulé « Protection des données dès la conception et protection des données par défaut », prévoit, à son paragraphe 2 :
« Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s’applique à la quantité de données à caractère personnel collectées, à l’étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne physique concernée. »
14. Le RGPD comprend un chapitre V, intitulé « Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales », lequel contient les articles 44 à 50 de ce règlement. L’article 44, intitulé « Principe général applicable aux transferts », énonce :
« Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis. »
15. L’article 49 dudit règlement, intitulé « Dérogations pour des situations particulières », prévoit :
« 1. En l’absence de décision d’adéquation en vertu de l’article 45, paragraphe 3, ou de garanties appropriées en vertu de l’article 46, y compris des règles d’entreprise contraignantes, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu’à l’une des conditions suivantes :
[...]
g) le transfert a lieu au départ d’un registre qui, conformément au droit de l’Union ou au droit d’un État membre, est destiné à fournir des informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d’un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit de l’Union ou le droit de l’État membre sont remplies dans le cas d’espèce.
[...] »
B. Le droit luxembourgeois
16. La loi du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs (Mémorial A 15) (ci‑après la « loi du 13 janvier 2019 ») prévoit, à son article 3, que toute une série d’informations sur les bénéficiaires effectifs des entités immatriculées doivent être inscrites et conservées dans le Registre des bénéficiaires effectifs. Ces informations incluent le nom, le(s) prénom(s), la (ou les) nationalité(s), le jour, le mois et l’année de naissance, le lieu de naissance, le pays de résidence et l’adresse privée précise ou l’adresse professionnelle précise.
17. L’article 15 de la loi du 13 janvier 2019 dispose :
« (1) Une entité immatriculée ou un bénéficiaire effectif peuvent demander, au cas par cas et dans les circonstances exceptionnelles ci‑après, sur la base d’une demande dûment motivée adressée au gestionnaire, de limiter l’accès aux informations visées à l’article 3 aux seules autorités nationales, aux établissements de crédit et aux établissements financiers ainsi qu’aux huissiers et aux notaires agissant en leur qualité d’officier public, lorsque cet accès exposerait le bénéficiaire effectif à un risque disproportionné, au risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est autrement frappé d’incapacité.
(2) Le gestionnaire limite provisoirement l’accès aux informations visées à l’article 3 aux seules autorités nationales dès la réception de la demande jusqu’à la notification de sa décision et, en cas de refus de la demande, pour une durée supplémentaire de quinze jours. En cas de recours contre une décision de refus, la limitation d’accès aux informations est maintenue jusqu’à ce que la décision de refus ne soit plus susceptible de voie de recours.
[...] »
II. Les faits à l’origine des litiges, les procédures au principal et les questions préjudicielles
A. L’affaire C‑37/20
18. WM est le bénéficiaire effectif d’un ensemble de 35 sociétés commerciales et de la société civile immobilière YO. Chacune de ces sociétés a introduit auprès de Luxembourg Business Registers (ci‑après « LBR »), le gestionnaire du Registre des bénéficiaires effectifs au Luxembourg, une demande au titre de l’article 15, paragraphe 1, de la loi du 13 janvier 2019 visant à ce que l’accès aux informations concernant WM en tant que bénéficiaire effectif de ces sociétés soit limité aux seuls établissements et autorités indiqués dans cette disposition, à l’exclusion de toutes autres personnes. Dans ces demandes, WM a fait valoir que la publication des informations visées à l’article 3 de la loi du 13 janvier 2019 exposerait WM et sa famille de manière caractérisée, réelle et actuelle à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation.
19. LBR a rejeté toutes ces demandes. En particulier, celle concernant la société civile immobilière YO a été rejetée par décision du 20 novembre 2019.
20. WM a introduit une action en justice contre cette décision devant la juridiction de renvoi (8). WM soutient que sa fonction de mandataire social des sociétés pour lesquelles la limitation d’accès aux informations a été demandée l’amène à devoir se déplacer souvent vers des pays aux régimes politiques instables et caractérisés par la présence d’une importante criminalité. Cela engendrerait un risque important d’enlèvement, de séquestration, de violence et même de mort. Ce risque serait accru si des personnes malintentionnées pouvaient savoir qu’il est le bénéficiaire effectif de l’une ou de l’autre des entités morales concernées, puisque cette qualité entraînerait la présomption de propriété de ces entités à son égard.
21. LBR soutient en revanche que la situation de WM ne répond pas aux exigences de la loi du 13 janvier 2019 qui justifieraient une limitation à l’accès à l’information concernant sa qualité de bénéficiaire effectif des sociétés en cause. LBR fait notamment valoir que l’implication de WM dans les activités de ces sociétés serait de notoriété publique, cette implication ayant fait l’objet de nombreuses références dans la presse et étant facilement détectable par le biais d’une simple recherche sur Internet.
22. La juridiction de renvoi est appelée à juger si WM remplit les conditions prévues à l’article 15, paragraphe 1, de la loi du 13 janvier 2019 pour que l’accès aux informations portant sur sa qualité de bénéficiaire effectif de la société civile immobilière YO soit limité. Elle relève que cette disposition transpose l’article 30, paragraphe 9, de la directive 2015/849 dans le droit luxembourgeois, et nourrit des doutes concernant l’interprétation de cette disposition de ladite directive.
23. Ces doutes concernent les notions de « circonstances exceptionnelles » et de « risque », prévues à l’article 30, paragraphe 9, de la directive 2015/849. La juridiction de renvoi s’interroge également sur le critère de la « disproportion » du risque justifiant la limitation de l’accès aux informations.
24. Dans ce contexte, le tribunal d’arrondissement de Luxembourg a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) La notion de “circonstances exceptionnelles”
a) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] à “des circonstances exceptionnelles à définir en droit national”, peut-il être interprété comme autorisant un droit national à définir la notion de “circonstances exceptionnelles” uniquement comme étant équivalente “à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation”, notions qui constituent d’ores et déjà une condition d’application de la limitation d’accès à travers la rédaction [de cette disposition] ?
b) En cas de réponse négative à la [première] question [sous] a), et dans l’hypothèse où le droit national de transposition n’a pas défini la notion de “circonstances exceptionnelles” autrement que par un renvoi aux notions inopérantes de “[à] un risque disproportionné, [à] un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation”, faut-il interpréter l’article 30, paragraphe 9, [de la directive 2015/849] comme permettant au juge national de faire abstraction de la condition des “circonstances exceptionnelles”, ou doit-il suppléer la carence du législateur national en déterminant par voie prétorienne la portée de la notion de “circonstances exceptionnelles” ? Dans cette dernière hypothèse, s’agissant d’après les termes de l’article 30, paragraphe 9, [de cette directive] d’une condition dont le contenu est déterminé par le droit national, est-il possible que la Cour [...] guide le juge national dans sa tâche ? En cas de réponse affirmative à cette dernière question, quelles sont les lignes directrices qui doivent guider le juge national dans la détermination du contenu de la notion de “circonstances exceptionnelles” ?
2) La notion de “risque”
a) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] “à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation”, doit-il être interprété comme renvoyant à un ensemble de huit cas de figure, dont le premier répond à un risque général soumis à la condition de disproportion et les sept suivants répondent à des risques spécifiques soustraits à la condition de disproportion ou comme renvoyant à un ensemble de sept cas de figure dont chacun répond à un risque spécifique soumis à la condition de disproportion ?
b) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] à “un risque”, doit-il être interprété comme limitant l’appréciation de l’existence et de l’ampleur de ce risque aux seuls liens qu’entretient le bénéficiaire [effectif] avec l’entité morale à l’égard de laquelle il demande spécifiquement à voir limiter l’accès à l’information de sa qualité de bénéficiaire [effectif] ou comme impliquant la prise en compte des liens qu’entretient le bénéficiaire [effectif] en cause avec d’autres entités morales ? S’il faut tenir compte des liens entretenus avec d’autres entités morales, faut-il tenir compte uniquement de la qualité de bénéficiaire [effectif] par rapport à d’autres entités morales ou faut-il tenir compte de tout lien quelconque entretenu avec d’autres entités morales ? S’il faut tenir compte de tout lien quelconque entretenu avec d’autres entités morales, l’appréciation de l’existence et de l’ampleur du risque est-elle impactée par la nature de ce lien ?
c) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] à “un risque”, doit-il être interprété comme excluant le bénéfice de la protection découlant d’une limitation d’accès lorsque ces informations, respectivement d’autres éléments avancés par le bénéficiaire [effectif] pour justifier de l’existence et de l’ampleur du “risque” encouru, sont aisément accessibles aux tiers par d’autres voies d’information ?
3) La notion de “risque disproportionné”
Quels intérêts divergents convient-il de prendre en considération dans le cadre de l’application de l’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant un bénéficiaire [effectif] à un risque “disproportionné” ? »
B. L’affaire C‑601/20
25. Sovim SA est une société anonyme établie et ayant son siège social à Luxembourg.
26. Le 12 août 2019, Sovim a déposé une demande au titre de l’article 15 de la loi du 13 janvier 2019 auprès de LBR, visant à limiter l’accès aux informations relatives à son bénéficiaire effectif qui y sont inscrites.
27. Le 6 février 2020, LBR, a refusé de faire droit à cette demande.
28. Le 24 février 2020, Sovim a alors introduit un recours devant le tribunal d’arrondissement de Luxembourg, dans lequel elle demande, à titre principal, que l’article 12 de la loi du 13 janvier 2019, selon lequel l’accès à certaines informations inscrites dans le registre des bénéficiaires effectifs est ouvert à toute personne, et/ou l’article 15 de cette loi soient laissés inappliqués et que les informations fournies par elle en exécution de l’article 3 de ladite loi ne soient pas publiquement accessibles.
29. Sovim soutient, en premier lieu, que le fait d’accorder un accès public à l’identité et aux données personnelles du bénéficiaire effectif violerait le droit à la protection de la vie privée et familiale ainsi que le droit à la protection des données à caractère personnel, consacrés respectivement aux articles 7 et 8 de la Charte. En effet, de l’avis de cette société, la directive 2015/849, sur la base de laquelle la loi du 13 janvier 2019 a été introduite dans la législation luxembourgeoise, vise à identifier les bénéficiaires effectifs de sociétés utilisées dans un but de blanchiment d’argent ou de financement du terrorisme, de même qu’à assurer la sécurité des relations commerciales et la confiance dans les marchés. Or, il ne serait pas établi en quoi l’accès au public sans le moindre contrôle d’accès des données contenues dans le registre des bénéficiaires effectifs permettrait d’atteindre ces objectifs. En second lieu, Sovim fait valoir que l’accès du public aux données personnelles contenues dans le registre des bénéficiaires effectifs constitue une violation de plusieurs dispositions du RGPD.
30. À titre subsidiaire, Sovim demande à la juridiction de renvoi de constater qu’il existe, en l’occurrence, un risque disproportionné au sens de l’article 15, premier alinéa, de la loi du 13 janvier 2019 et, partant, d’ordonner à LBR de limiter l’accès aux informations visées à l’article 3 de cette loi. Cette société soutient, à cet égard, que son bénéficiaire effectif serait soumis à un risque disproportionné caractérisé, réel et actuel, puisqu’il existerait un risque d’enlèvement du bénéficiaire effectif et de sa famille, se déplaçant ou résidant sur le continent africain.
31. Dans ce contexte, selon la juridiction de renvoi, la question se pose de savoir si l’accès à certaines des données figurant au registre des bénéficiaires effectifs au grand public est compatible avec la Charte ainsi qu’avec le RGPD.
32. Dans ces conditions, le tribunal d’arrondissement de Luxembourg a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’article 1er, paragraphe 15, sous c), de la [directive 2018/843], en ce sens qu’il impose aux États membres de rendre les informations sur les bénéficiaires effectifs accessibles dans tous les cas à tout membre du grand public sans justification d’un intérêt légitime, est-il valide
a) à la lumière du droit au respect de la vie privée et familiale garanti à l’article 7 de la [Charte], interprété conformément à l’article 8 de la [convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »)], compte tenu des objectifs énoncés notamment aux considérants 30 et 31 de la directive 2018/843 visant, en particulier, la lutte contre le blanchiment de capitaux et le financement du terrorisme, et
b) à la lumière du droit à la protection des données à caractère personnel garantie à l’article 8 de la Charte en ce qu’il vise notamment à garantir le traitement des données personnelles de manière licite, loyale et transparente à l’égard de la personne concernée, la limitation des finalités de la collecte et du traitement et la minimisation des données ?
2) a) L’article 1er, paragraphe 15, sous g), de la directive 2018/843 doit-il être interprété en ce sens que les circonstances exceptionnelles auxquelles il fait référence, dans lesquelles les États membres peuvent prévoir des dérogations concernant l’accès à tout ou en partie des informations sur les bénéficiaires effectifs, lorsque l’accès du grand public exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ne peuvent être trouvées que si la preuve est apportée d’un risque disproportionné de fraude, d’enlèvement, de chantage, d’extorsion de fonds, de harcèlement, de violence ou d’intimidation qui est exceptionnel, pesant effectivement sur la personne particulière du bénéficiaire effecti[f], caractérisé, réel et actuel ?
b) Dans l’affirmative, l’article 1er, paragraphe 15, sous g), de la directive 2018/843, ainsi interprété, est-il valide à la lumière du droit au respect de la vie privée et familiale garanti à l’article 7 de la Charte et du droit à la protection des données à caractère personnel garanti à l’article 8 de la Charte ?
3) a) L’article 5, paragraphe 1, sous a), du [RGPD], imposant le traitement des données de manière licite, loyale et transparente au regard de la personne concernée, doit-il être interprété en ce sens qu’il ne s’oppose pas
– à ce que les données à caractère personnel d’un bénéficiaire effectif inscrites dans un registre de bénéficiaires effectifs, créé conformément à l’article 30 de la directive 2015/849, soient accessibles au grand public sans contrôle ni justification par toute personne du public et sans que la personne concernée (bénéficiaire effectif) puisse savoir qui a eu accès à ces données à caractère personnel la concernant, ni
– à ce que [le] responsable de traitement d’un tel registre de bénéficiaires effectifs donne accès aux données à caractère personnel des bénéficiaires effectifs à un nombre illimité et non déterminable de personnes ?
b) L’article 5, paragraphe 1, sous b), du [RGPD] imposant la limitation des finalités doit-il être interprété en ce sens qu’il ne s’oppose pas à ce que les données à caractère personnel d’un bénéficiaire effectif inscrites dans un registre de bénéficiaires effectifs, créé conformément à l’article 30 de la directive 2015/849, soient accessibles au grand public sans que le responsable du traitement de ces données puisse garantir que lesdites données soient utilisées exclusivement pour la finalité pour laquelle elles ont été collectées, à savoir, en substance, la lutte contre le blanchiment de capitaux et le financement du terrorisme, finalité que le grand public n’est pas l’organe responsable à faire respecter ?
c) L’article 5, paragraphe 1, sous c), du [RGPD] imposant la minimisation des données doit-il être interprété en ce sens qu’il ne s’oppose pas à ce que, par le biais d’un registre de bénéficiaires effectifs créé conformément à l’article 30 de la directive 2015/849, le grand public ait accès outre au nom, mois et année de naissance, nationalité, et pays de résidence d’un bénéficiaire effectif ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus par lui, également à sa date de naissance et à son lieu de naissance ?
d) L’article 5, paragraphe 1, sous f), du [RGPD] imposant que le traitement de données doit se faire de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite, garantissant ainsi l’intégrité et la confidentialité de ces données ne s’oppose-t-il pas à l’accès sans limite et sans condition, sans engagement de confidentialité aux données à caractère personnel de bénéficiaires effectifs disponibles au registre de bénéficiaires effectifs crée conformément à l’article 30 de la directive 2015/849 ?
e) L’article 25, paragraphe 2, du [RGPD], qui garantit la protection des données par défaut en vertu duquel, notamment, par défaut les données à caractère personnel ne doivent pas être rendues accessible à un nombre indéterminé de personne physiques sans l’intervention de la personne physique concernée, doit-il être interprété en ce sens qu’il ne s’oppose pas
– à ce qu’un registre de bénéficiaires effectifs créé conformément à l’article 30 de la directive 2015/849 ne requiert pas l’inscription sur le site dudit registre des personnes du grand public consultant les données à caractère personnel d’un bénéficiaire effectif, ni
– à ce qu’aucune information sur une consultation de données à caractère personnel d’un bénéficiaire effectif inscrites dans un tel registre ne soit communiquée audit bénéficiaire effectif, ni
– à ce qu’aucune restriction quant à l’étendue et l’accessibilité des données à caractère personnel en cause ne soit applicable au regard de la finalité de leur traitement ?
f) Les articles 44 à 50 du [RGPD], qui soumettent à des conditions strictes le transfert de données à caractère personnel vers un pays tiers, doivent-ils être interprétés en ce sens qu’il ne s’opposent pas à ce que de telles données d’un bénéficiaire effectif inscrites dans un registre de bénéficiaires effectifs, créé conformément à l’article 30 de la directive 2015/849, soient accessibles dans tous les cas à tout membre du grand public sans justification d’un intérêt légitime et sans limitation quant à la localisation de ce public ? »
III. Analyse
33. Les six questions posées par la juridiction de renvoi dans le cadre de ses deux demandes de décision préjudicielle peuvent, en substance, être regroupées en trois groupes.
34. Un premier groupe de questions [à savoir, la première question et la deuxième question, sous b), présentées dans l’affaire C‑601/20] vise à vérifier la validité – à la lumière des droits au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte – du régime d’accès public aux informations sur les bénéficiaires effectifs et de son système de dérogations, tels que mis en place par l’article 30, paragraphe 5, sous c), et paragraphe 9, de la directive 2015/849.
35. Un deuxième groupe de questions (à savoir, la troisième question présentée dans l’affaire C‑601/20), vise à vérifier la compatibilité dudit régime d’accès public aux informations sur les bénéficiaires effectifs avec plusieurs dispositions du RGPD.
36. Un troisième groupe de questions [à savoir, toutes les questions présentées dans l’affaire C‑37/20, ainsi que la deuxième question, sous a), présentée dans l’affaire C‑601/20] concerne l’interprétation de l’article 30, paragraphe 9, de la directive 2015/849, relatif au système de dérogations audit régime d’accès public aux informations sur les bénéficiaires effectifs.
37. Avant de répondre à ces questions, j’estime opportun d’effectuer quelques considérations à titre liminaire. Premièrement, je formulerai des remarques de caractère général concernant le principe de transparence dans le droit de l’Union, principe qui joue un rôle fondamental dans les présentes affaires. Deuxièmement, je présenterai les caractéristiques principales du régime d’accès public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques, mis en place par la directive 2015/849. Troisièmement, je formulerai quelques considérations au regard des relations entre la directive 2015/849 et le RGPD.
A. Observations liminaires
1. Sur le principe de transparence
38. La démocratie est « le gouvernement de la puissance publique en public ». Cette définition de la démocratie, donnée par le philosophe politique faisant autorité Norberto Bobbio (9), met en évidence la relation d’interpénétration entre démocratie et transparence. Dans les traditions constitutionnelles des États membres, l’idée s’est progressivement imposée selon laquelle l’activité des pouvoirs publics doit être régie par la transparence et les limites à cette dernière doivent être absolument exceptionnelles (un gouvernement comme une « maison en verre »).
39. À la transparence de la puissance publique s’oppose le secret de la sphère privée, protégé par la reconnaissance d’un droit fondamental ayant pour objet le secret de la vie privée, désormais consacré à l’article 7 de la Charte. Ce droit, surtout après l’affirmation des technologies numériques, s’est élargi à travers le droit à la protection des données personnelles, consacré lui aussi par la Charte, à l’article 8. À la dichotomie conceptuelle entre le public et le privé correspond celle entre la transparence et la confidentialité de la vie privée.
40. Dans les sociétés complexes d’aujourd’hui, cependant, la ligne de démarcation entre la sphère publique et la sphère privée n’est pas toujours nette. En effet, il y a de plus en plus fréquemment des interférences et des chevauchements entre les deux. En particulier, certains comportements privés peuvent, de par leur nature, avoir des répercussions importantes sur la dimension publique ou, du fait du rôle public assuré par celui qui les met en œuvre, ils peuvent être pertinents pour le public d’une société démocratique et ses articulations (médias, partis politiques, organisations de la société civile) qui exercent un contrôle étendu sur l’action des pouvoirs publics.
41. Ainsi, pour des raisons de nature objective ou subjective, il peut y avoir un intérêt général à connaître certains aspects qui relèvent de la sphère privée d’un individu. Par conséquent, les cas de conflit entre la confidentialité de la vie privée et la protection des données personnelles, d’une part, et le besoin de transparence, d’autre part, se multiplient, nécessitant de délicates opérations de pondération équilibrée.
42. Dans ce contexte, il convient de relever que le principe de transparence joue un rôle de plus en plus important en droit de l’Union et il a été désormais consacré au niveau du droit primaire, étant inscrit aux articles 1er et 10 TUE, ainsi qu’à l’article 15 TFUE (10). Dans le cadre du droit de l’Union, ce principe se concrétise d’abord dans des exigences de transparence institutionnelle et procédurale visant des activités de nature publique, telles que l’activité législative ou administrative. Dans cette perspective, la transparence contribue à renforcer les principes de la démocratie et le respect des droits fondamentaux tels qu’ils sont définis à l’article 6 TUE et dans la Charte (11). La Cour elle-même a reconnu la connexion entre transparence et démocratie, en décrivant dans sa jurisprudence la finalité du principe de transparence comme consistant à offrir aux citoyens le plus large accès possible à l’information, en vue de renforcer le caractère démocratique des institutions et de l’administration (12).
43. Cependant, l’élargissement du champ d’application du principe de transparence, en particulier à la suite de l’entrée en vigueur du traité de Lisbonne (13), en a étendu l’importance dans des domaines, tels que celui de la réglementation des marchés financiers, dans lesquels ce principe contribue à lutter contre des phénomènes, tels que la corruption ou le terrorisme, qui, pouvant corroder la démocratie, sont susceptibles de mettre en danger cette valeur fondatrice de l’Union, consacrée à l’article 2 TUE.
44. Par ailleurs, la jurisprudence de la Cour montre des exemples de situations d’interférence entre les deux dichotomies susmentionnées, sphère publique/sphère privée et exigences de transparence/confidentialité de la vie privée.
45. Ainsi, dans l’arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert (C‑92/09 et C‑93/09, EU:C:2010:662), la Cour a jugé que la publication au moyen d’Internet des données nominatives relatives aux bénéficiaires d’aides agricoles ainsi qu’aux montants précis perçus par ceux-ci était apte à augmenter la transparence en ce qui concerne l’utilisation de ces aides. Elle a indiqué que de telles informations mises à la disposition des citoyens renforcent le contrôle public sur l’utilisation des sommes allouées et contribuent à une utilisation optimale des fonds publics (14).
46. Un autre arrêt récent, rendu par la grande chambre de la Cour (15), concernait une loi hongroise qui, entre autres, imposait à certaines catégories d’organisations de la société civile, bénéficiant de soutien étranger, des obligations de divulgation publique concernant des informations relatives aux personnes apportant le soutien depuis l’étranger ainsi qu’à ces aides financières. Dans cet arrêt, la Cour a jugé que la loi en cause introduisait des restrictions discriminatoires et injustifiées et violait l’article 63 TFUE, ainsi que les articles 7, 8 et 12 de la Charte.
47. Dans ce contexte, la Cour a expressément reconnu que, puisque certaines organisations de la société civile sont susceptibles, eu égard aux buts qu’elles poursuivent et aux moyens dont elles disposent, d’avoir une influence importante sur la vie publique et le débat public, alors l’objectif consistant à accroître la transparence des aides financières accordées à de telles organisations peut constituer une raison impérieuse d’intérêt général (16).
48. Comme le montrent les exemples donnés, la transparence, typique du secteur public, peut, sous certaines conditions, concerner certaines activités – et les données connexes – de sujets privés qui, pour diverses raisons, mettent en cause des intérêts fondamentaux de la communauté. Cette évolution n’est pas surprenante si l’on considère que la transparence est un « moyen » qui est utilisé, en dehors du périmètre des pouvoirs publics, pour atteindre des objectifs d’intérêt général. La question de caractère constitutionnel qui se pose dans les présentes affaires concerne la manière dont il est possible de concilier les exigences de transparence avec la protection des droits fondamentaux, et spécifiquement des droits à la protection de la vie privée et à la protection des données personnelles.
2. Sur le régime d’accès public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques mis en place dans la directive 2015/849
49. Il convient de présenter brièvement les éléments principaux du régime d’accès public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques qui fait l’objet des questions préjudicielles dans les présentes affaires.
50. Ainsi qu’il ressort de son article 1er et de son considérant 5, la directive 2015/849 vise à prévenir les menaces susceptibles d’affecter l’intégrité, le bon fonctionnement, la réputation et la stabilité du système financier résultant de l’utilisation de ce système aux fins du blanchiment de capitaux et du financement du terrorisme (17). À cette fin, elle définit un cadre juridique global et efficace de lutte contre la collecte de biens ou d’argent à des fins terroristes, en imposant aux États membres d’identifier, de comprendre et d’atténuer les risques de blanchiment de capitaux et de financement du terrorisme (18).
51. Dans ce cadre, la nécessité de disposer d’informations exactes et actualisées sur le bénéficiaire effectif des sociétés et autres entités juridiques constituées sur le territoire des États membres – tel que défini à l’article 3, point 6, de la directive 2015/849 – joue un rôle déterminant pour remonter jusqu’aux criminels, qui pourraient autrement masquer leur identité derrière une structure de société (19).
52. Aux termes de l’article 3, point 6, de la directive 2015/849 les bénéficiaires effectifs sont la ou les personnes physiques qui, en dernier ressort, possèdent ou contrôlent le client et/ou la ou les personnes physiques pour lesquels une transaction est exécutée, ou une activité réalisée.
53. C’est ainsi que l’article 30, paragraphes 1 et 3, de la directive 2015/849 impose aux États membres de veiller, respectivement, d’une part, à ce que les sociétés et autres entités juridiques constituées sur leur territoire (20) aient l’obligation d’obtenir et de conserver des informations adéquates, exactes et actuelles sur leurs bénéficiaires effectifs et, d’autre part, à ce que ces informations soient conservées dans un registre central dans chaque État membre. Ces dispositions ne spécifient pas exactement quelles informations concernant le bénéficiaire effectif doivent être communiquées audit registre central, en laissant à chaque État membre la faculté de les déterminer.
54. En ce qui concerne l’accès à ces informations, l’article 30, paragraphe 5, de la directive 2015/849, dans sa version originaire, disposait que les États membres veillent à ces que les informations sur les bénéficiaires effectifs soient accessibles dans tous les cas aux autorités compétentes et aux cellules de renseignement financier, sans aucune restriction [sous a)], aux entités assujetties, dans le cadre de la vigilance à l’égard de la clientèle [sous b)] et à toute personne ou organisation capable de démontrer un intérêt légitime [sous c)].
55. Il ressort du considérant 2 de la directive 2018/843 que, à la lumière de « l’émergence de nouvelles tendances, notamment dans la manière dont les groupes terroristes financent et mènent leurs opérations », il a été jugé nécessaire de prendre « des mesures supplémentaires [...] pour garantir une plus grande transparence des transactions financières, des sociétés et autres entités juridiques ». Ainsi qu’il résulte du considérant 5 de la directive 2018/843, ces mesures supplémentaires modifiant la directive 2015/849 doivent toutefois être « apportées en tenant dûment compte du droit fondamental à la protection des données à caractère personnel ainsi que du respect et de l’application du principe de proportionnalité ».
56. Ainsi, dans la perspective de la promotion d’un degré plus élevé de transparence en ce qui concerne les bénéficiaires effectifs, la version originelle de l’article 30, paragraphe 5, sous c), de la directive 2015/849, a été modifiée par la directive 2018/843, dans le sens que la possibilité d’accéder aux informations sur les bénéficiaires effectifs est désormais possible pour « tout membre du grand public » sans qu’il soit nécessaire de prouver un intérêt quelconque.
57. Plus précisément, en vertu de l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849, tout membre du grand public est autorisé « à avoir accès, au moins, au nom, au mois et à l’année de naissance, au pays de résidence et à la nationalité du bénéficiaire effectif, ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus ». Par ailleurs, conformément au troisième alinéa de cet article 30, paragraphe 5, les États membres peuvent donner accès « à des informations supplémentaires permettant l’identification du bénéficiaire effectif », ces informations supplémentaires comprenant « au moins, la date de naissance ou les coordonnées, conformément aux règles en matière de protection de données ».
58. En ce qui concerne les modalités d’accès à ces données, la directive 2018/843 a introduit à l’article 30 de la directive 2015/849 un paragraphe 5 bis qui donne la faculté aux États membres de décider de conditionner la mise à disposition des informations conservées dans les registres nationaux à une inscription en ligne et au paiement d’une redevance, qui n’excède pas les coûts administratifs liés à la mise à disposition des informations.
59. L’accès du grand public aux informations concernant les bénéficiaires effectifs n’est toutefois pas illimité. En effet, la directive 2015/849, à son article 30, paragraphe 9, donne la possibilité aux États membres de prévoir des dérogations à l’accès aux informations concernant les bénéficiaires effectifs. Dans sa version modifiée par la directive 2018/843, le paragraphe 9 dudit article dispose que les États membres peuvent prévoir des dérogations concernant l’accès auxdites informations dans des circonstances exceptionnelles à définir en droit national, lorsque l’accès par les entités assujetties ou par le grand public exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est autrement frappé d’incapacité.
60. Ainsi qu’il ressort des considérants 30 (21), 31 (22), 32 (23) et 33 (24) de la directive 2018/843, les modifications introduites par celle-ci à l’article 30 de la directive 2015/849 – et, notamment la prévision de la possibilité d’accéder aux informations sur les bénéficiaires effectifs pour « tout membre du grand public » sans qu’il soit nécessaire de prouver un intérêt quelconque – ont visé à promouvoir un degré plus élevé de transparence en ce qui concerne les bénéficiaires effectifs et les structures de contrôle des entreprises, avec l’objectif principal de mettre en place un environnement moins susceptible d’être utilisé à des fins de blanchiment de capitaux et de financement du terrorisme (25). L’instauration d’une plus grande transparence a visé à avoir également comme effet secondaire positif l’amélioration de la confiance dans les marchés financiers (26).
61. Si les modifications introduites à la directive 2015/849 par la directive 2018/843 ont visé l’objectif primaire susmentionné de promotion d’un degré plus élevé de transparence, le considérant 34 (27) de cette dernière directive reconnaît toutefois explicitement qu’il est nécessaire de rechercher un juste équilibre entre, d’une part, l’intérêt du grand public à la prévention du blanchiment de capitaux et du financement du terrorisme et, d’autre part, les droits fondamentaux des personnes concernées.
62. C’est ainsi, comme il ressort du considérant 36 (28) de la directive 2018/843, dans le but d’assurer une approche proportionnée et équilibrée et de garantir, notamment, les droits au respect de la vie privée et à la protection des données à caractère personnel, que la directive 2015/849 a prévu les dérogations à la divulgation, par l’intermédiaire des registres, d’informations sur les bénéficiaires effectifs et à l’accès du grand public à de telles informations, aux conditions susmentionnées prévues à l’article 30, paragraphe 9, de cette directive.
3. Sur la relation entre les directives 2015/849 et 2018/843 et le RGPD
63. Le deuxième groupe de questions, mentionné au point 35 des présentes conclusions, à savoir celles posées dans le cadre de la troisième question dans l’affaire C‑601/20, sont formulées comme visant à demander à la Cour d’apprécier la validité du régime d’accès public aux informations concernant les bénéficiaires effectifs, mis en place par la directive 2015/849, à l’aune de plusieurs dispositions du RGPD.
64. Dans ces conditions, il apparaît opportun d’effectuer, à titre liminaire, quelques considérations concernant la relation existant entre ces actes de droit de l’Union, à savoir, d’un côté les directives 2015/849 et 2018/843, et, de l’autre côté, le RGPD.
65. À cet égard, il convient, tout d’abord, de relever qu’il s’agit d’actes de droit dérivé, qui, dans la hiérarchie des sources de droit de l’Union, se trouvent au même rang.
66. Or, il ressort de la jurisprudence que, lorsque deux actes de droit dérivé de même rang ne comportent pas de disposition prévoyant expressément la primauté de l’un sur l’autre, il convient d’assurer une application de chacun de ces actes qui soit compatible avec celle de l’autre et en permette ainsi une application cohérente (29).
67. En l’occurrence, il existe des liens explicites entre les actes en cause. Le lien le plus direct est établi à l’article 41, paragraphe 1, de la directive 2015/849, aux termes duquel, dans la version modifiée par la directive 2019/2177, « le traitement des données à caractère personnel au titre de cette directive est soumis [au RGPD] ». Le considérant 38 de la directive 2018/843 expose également que le RGPD « s’applique au traitement des données à caractère personnel dans le cadre de la présente directive » et que « les bénéficiaires devraient être informés de leurs droits en vertu du cadre juridique de l’Union relatif à la protection des données en vigueur établi par le [RGPD] ». L’article 43 de la directive 2015/849 contient également une référence au RGPD.
68. En dépit de l’utilisation du termes « soumis » audit article 41, paragraphe 1 (30), ces liens n’apparaissent pas, à mon sens, prévoir une primauté du RGPD sur les directives 2015/849 et 2018/843 (31), de sorte que le RGPD devrait, en tant que tel, constituer un paramètre de légalité pour apprécier la validité des dispositions de ces directives.
69. Ces liens sont, en revanche, l’expression d’une exigence de coordination entre, d’une part, le traitement des données à caractère personnel résultant de l’application desdites directives et, d’autre part, le cadre juridique général en droit de l’Union relatif à la protection des données mis en place par le RGPD.
70. Par ailleurs, ce cadre juridique général créé par le RGPD met en œuvre – notamment (mais non exclusivement) aux articles 5 et 6 de ce règlement – les exigences découlant du droit fondamental à la protection des données à caractère personnel protégé par l’article 8 de la Charte et notamment celles expressément prévues par le paragraphe 2 de cet article (32).
71. Il s’ensuit que, pour être conforme aux exigences découlant de l’article 8 de la Charte, le régime de traitement des données concernant les bénéficiaires effectifs, mis en place par la directive 2015/849, doit être interprété de manière cohérente avec les dispositions du RGPD, conformément à ce qui est explicitement prévu à l’article 41, paragraphe 1, de cette directive.
72. D’ailleurs les exigences découlant des règles du RGPD doivent être prises en compte également par les autorités des États membres, notamment par le législateur national, lorsqu’elles règlent et appliquent le régime en matière de prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme mis en place par les directives susmentionnées, et spécifiquement, le régime de traitement des données concernant les bénéficiaires effectifs que ces deux directives prévoient.
73. C’est donc à la lumière de ces principes qu’il convient d’analyser les questions préjudicielles introduites par la juridiction de renvoi.
B. Sur la validité de l’article 30, paragraphe 5, sous c), et paragraphe 9, de la directive 2015/849 [première question et deuxième question, sous b), dans l’affaire C‑601/20]
74. Par la première question posée dans l’affaire C‑601/20, la juridiction de renvoi demande si l’article 30, paragraphe 5, sous c), de la directive 2015/849 en ce sens qu’il impose aux États membres de rendre les informations sur les bénéficiaires effectifs accessibles à tout membre du grand public sans justification d’un intérêt légitime, est valide à la lumière du droit au respect de la vie privée et familiale et du droit à la protection des données à caractère personnel garantis, respectivement, aux articles 7 et 8 de la Charte.
75. Par la deuxième question, sous b), posée dans la même affaire, la juridiction de renvoi demande si l’article 30, paragraphe 9, de la directive 2015/849, qui donne la possibilité aux États membres de prévoir des dérogations à l’accès, notamment, de tout membre du grand public aux informations concernant les bénéficiaires effectifs, est valide à la lumière desdits droits fondamentaux consacrés par la Charte.
76. Il convient, à mon avis, d’analyser conjointement ces deux questions qui concernent la validité de deux paragraphes du même article de la directive 2015/849. En effet, ces deux questions visent deux aspects du même régime d’accès public aux informations sur les bénéficiaires effectifs, tel que mis en place par cette directive, dont la validité doit, selon moi, être appréciée dans son ensemble. J’estime, en effet, que, afin de pouvoir répondre à la première question posée dans l’affaire C‑601/20, concernant l’ouverture de l’accès auxdites informations au grand public sans justification d’un intérêt quelconque, on ne peut pas éviter de prendre en compte le système de dérogations prévu à l’article 30, paragraphe 9, de ladite directive. Les deux questions sont donc liées.
77. À titre liminaire, j’observe, encore, qu’il ressort de la décision de renvoi que la première question dans l’affaire C‑601/20 ne vise pas à remettre en cause la communication et la conservation des données concernant les bénéficiaires effectifs dans un registre central, ni le régime d’accès en tant que tel à ces informations, tel que prévu à l’article 30, paragraphe 5, de la directive 2015/849. Ladite question porte uniquement sur la modification de l’article 30, paragraphe 5, sous c), de la directive 2015/849, résultant de la directive 2018/843. Elle porte donc seulement sur l’abolition de l’exigence, prévue dans la version originaire de cette disposition, selon laquelle toute personne ou organisation, doit démontrer un « intérêt légitime » pour pouvoir accéder auxdites données concernant les bénéficiaires effectifs et, ainsi, sur l’introduction de la possibilité d’accéder à de telles informations pour « tout membre du grand public » sans qu’il soit nécessaire de prouver un intérêt quelconque.
1. Les droits protégées par les articles 7 et 8 de la Charte et les conditions auxquelles doivent répondre les ingérences dans ces droits
78. En ce qui concerne les droits fondamentaux visées par les deux questions en appréciation de validité susmentionnées, il convient de rappeler que l’article 7 de la Charte garantit à toute personne le droit au respect de sa vie privée et familiale, de son domicile et de ses communications. Quant à l’article 8, paragraphe 1, de la Charte, celui-ci reconnaît explicitement à toute personne le droit à la protection des données à caractère personnel la concernant. Selon une jurisprudence constante, ces droits, qui se rapportent à toute information concernant une personne physique identifiée ou identifiable, sont étroitement liés, l’accès à des données à caractère personnel d’une personne physique en vue de leur conservation ou de leur utilisation affectant le droit de cette personne au respect de la vie privée (33).
79. Les droits consacrés aux articles 7 et 8 de la Charte n’apparaissent cependant pas comme étant des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société (34). L’article 8, paragraphe 2, de la Charte autorise ainsi le traitement des données à caractère personnel si certaines conditions sont réunies. Cette disposition prévoit que les données à caractère personnel doivent être traitées « loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi ».
80. Toute limitation apportée au droit à la protection des données personnelles, ainsi qu’au droit à la vie privée, doit en outre, respecter les prescriptions de l’article 52, paragraphe 1, de la Charte. Ainsi, une telle limitation doit être prévue par la loi, respecter le contenu essentiel de ces droits, répondre effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui et respecter le principe de proportionnalité.
81. L’appréciation d’une mesure limitant lesdits droits doit tenir compte également de l’importance des droits consacrés aux articles 3, 4, 6 et 7 de la Charte et de celle que revêtent les objectifs de protection de la sécurité nationale et de lutte contre la criminalité grave en contribuant à la protection des droits et des libertés d’autrui (35).
82. Par ailleurs, l’article 52, paragraphe 3, de la Charte vise à assurer la cohérence nécessaire entre les droits contenus dans celle-ci et les droits correspondants garantis par la CEDH, dont il convient de tenir compte en tant que seuil de protection minimale (36). Le droit au respect de la vie privée et familiale, consacré à l’article 7 de la Charte, correspond à celui garanti à l’article 8 de la CEDH et doit, par conséquent, se voir reconnaître le même sens et la même portée (37).
83. C’est à la lumière de ces principes qu’il convient d’examiner lesdites deux questions en appréciation de validité.
2. Sur l’existence d’ingérences dans les droits énoncés aux articles 7 et 8 de la Charte et sur leur gravité
84. Afin d’apprécier la validité des dispositions de la directive 2015/849 mises en cause par la juridiction de renvoi, il convient, d’emblée, de vérifier si des opérations telles que celles prévues par ces dispositions sont susceptibles de porter atteinte aux droits fondamentaux garantis aux articles 7 et 8 de la Charte et de constituer des ingérences dans ces droits. Si tel est le cas, il y a lieu également de déterminer le niveau de gravité de ces ingérences (38).
85. En ce qui concerne, tout d’abord, l’existence d’ingérences, il convient, premièrement, de relever que le respect du droit à la vie privée à l’égard du traitement des données à caractère personnel, reconnu par les articles 7 et 8 de la Charte, se rapporte à toute information concernant une personne physique identifiée ou identifiable (39), ce qui est le cas en l’espèce, les bénéficiaires effectifs des sociétés et autres entités juridiques, tels que définis à l’article 3, point 6, de la directive 2015/849, étant des personnes physiques identifiables.
86. Deuxièmement, il convient également de relever que les informations concernant les bénéficiaires effectifs auquel le grand public a accès, qui sont énumérées à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849, et qui ont été mentionnées au point 57 des présentes conclusions, sont des données à caractère personnel (40). À cet égard, il ressort de la jurisprudence que la circonstance que ces informations s’inscrivent dans le contexte d’une activité professionnelle n’est pas de nature à leur ôter la qualification de données à caractère personnel (41).
87. En outre, il ressort de la jurisprudence que, pour déterminer si des données à caractère personnel doivent être couvertes par la protection prévue par le droit de l’Union, il est indifférent de savoir si les informations visées sont d’une sensibilité particulière ou non. De surcroît, la Cour a déjà jugé que, aux fins de caractériser l’existence d’une ingérence dans le droit fondamental consacré à l’article 7 de la Charte, il importe peu que les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence (42).
88. Troisièmement, ainsi que toutes les parties ayant déposé des observations devant la Cour l’ont relevé, des opérations telles que celles prévues à l’article 30, paragraphe 5, sous c), de la directive 2015/849 – à savoir la mise à disposition et la divulgation au public, par l’organisme chargé de la tenue d’un registre, de données à caractère personnel relatives aux bénéficiaires effectifs, telles que celles mentionnées au point 57 des présentes conclusions– sont des opérations susceptibles de porter atteinte aux droits fondamentaux garantis par les articles 7 et 8 de la Charte. Ces opérations constituent ainsi des ingérences dans les droits garantis à l’article 7 de la Charte (43). Elles sont également constitutives d’ingérences dans le droit à la protection des données à caractère personnel garanti à l’article 8 de la Charte puisqu’elles constituent des traitements de données à caractère personnel (44), relevant du paragraphe 2, de cet article 8 (45), dont ledit organisme est le responsable (46).
89. En outre, en l’occurrence, une fois mises à disposition, ces données peuvent être consultées par les membres du grand public qui accèdent aux informations contenues et rendues accessibles dans le registre et, le cas échéant, sont conservées ou diffusées par ces personnes (47). Cet accès constitue une ingérence supplémentaire dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte (48). Dès l’instant où il accède aux données contenues dans le registre, le membre du grand public est susceptible également d’être considéré comme responsable de ce traitement, ainsi que des éventuels traitements successifs (49).
90. Il y a donc lieu de conclure que des opérations telles que celles résultant de l’application de l’article 30, paragraphe 5, sous c), de la directive 2015/849 constituent des ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte.
91. En ce qui concerne, ensuite, l’appréciation de la gravité de ces ingérences, il convient, en premier lieu, de relever que, en l’occurrence, le nombre de personnes susceptibles d’être concernées par l’ingérence est non pas illimité, indéfini et indifférencié, mais il est au contraire encadré (50). En effet, les personnes physiques identifiables en tant que bénéficiaires effectifs des sociétés ou d’autres entités juridiques, dans le sens de la définition mentionnée au point 85 des présentes conclusions, constituent un groupe d’individus spécifiques. Ces individus sont déterminés en raison de leur rôle dans les sociétés et autres entités juridiques, à savoir leur position de bénéficiaires effectifs de ces entités. En outre, cette détermination a lieu en fonction des objectifs poursuivis (51) par l’obligation de communication au registre des bénéficiaires effectifs des données en question. Il existe donc une relation entre les personnes concernées (à savoir, les bénéficiaires effectifs) et la finalité du traitement.
92. Néanmoins, il convient également de relever, en deuxième lieu, que les modalités de traitement des données en cause, donnant lieu aux ingérences, à savoir la mise à disposition de ces données au public sans, en principe, aucune barrière à l’accès, sont potentiellement susceptibles de permettre une diffusion à grande échelle de ces données.
93. Or, les dispositions de l’article 30 de la directive 2015/849 laissent au législateur national une certaine marge de manœuvre en ce qui concerne la détermination des modalités d’accès du grand public aux données concernant les bénéficiaires effectifs ainsi que les procédures à suivre à cet effet. Dans un tel contexte, la portée des incidences sur les droits fondamentaux en cause est susceptible de varier en fonction de la manière dont l’accès du public est assuré.
94. Ainsi, dans certains États membres, comme, le Luxembourg, pays en cause dans les présentes affaires, cet accès peut être effectué à l’aide de procédures automatisées, les données concernant les bénéficiaires effectifs des sociétés et autres entités juridiques étant disponibles sur Internet. Or, il est clair qu’une telle modalité d’accès, à savoir la possibilité d’accéder à ces données librement sur Internet, est susceptible de donner lieu à une propagation maximale de ces données. Une telle modalité de traitement des données peut donc rendre possible une diffusion à grande échelle de ces données (52).
95. En troisième lieu, pour ce qui est des données visées par les ingérences, il ressort de la jurisprudence de la Cour que plus les catégories de données faisant objet de l’accès sont nombreuses, plus l’ingérence est susceptible d’être qualifiée de « grave » (53).
96. Or, il ressort de l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 que, en l’occurrence – sous réserve de la question de la marge de manœuvre laissée aux États membres, question discutée aux points 105 à 107 ci-dessous –, ces données correspondent à deux catégories : d’une part, une série de données relatives à l’identité civile des bénéficiaires effectifs (le nom, le mois et l’année de naissance ainsi que la nationalité) et à leur pays de résidence sans autre spécification ; d’autre part, des données relatives à la nature et à l’étendue des intérêts effectifs détenus. Les autres informations qui sont contenues dans le registre des bénéficiaires effectifs ne sont pas concernées par les opérations constituant des ingérences mentionnées aux points 88 et 89 des présentes conclusions qui font objet des questions préjudicielles dans la présente affaire.
97. Concernant la première catégorie de données, il s’agit d’une série limitée de données qui permettent sans doute d’individualiser une personne, mais qui constituent des données pouvant être dites « de contact » (54) et d’identification, et non pas des données pour ainsi dire « qualifiées », se rapportant essentiellement à la vie privée et intime ou permettant l’établissement d’un profilage fidèle, précis et exhaustif de l’identité privée de la personne concernée (55). Si ces données permettent d’identifier avec un certain degré de précision la personne en cause, à savoir le bénéficiaire effectif, elles ne permettent pas, à mon avis, de tirer des conclusions particulièrement précises concernant la vie privée des personnes dont les données sont concernées (56).
98. Quant à la seconde catégorie de données, il s’agit de données de nature économique, dévoilant la nature des intérêts effectifs détenus dans la société ou entité – comme, par exemple, la détention de parts sociales ou d’actions – et l’étendue de ces intérêts, qui peut être, par exemple, exprimée en termes de pourcentage de participation dans l’entité. Or, si de telles données permettent certainement de déterminer la portée des intérêts du bénéficiaire effectif dans la société ou l’entité juridique en cause et ont, dès lors, une certaine signification économique, elles ne permettent pas, toutefois à mon avis, tout comme la première catégorie de données, de tirer des conclusions précises concernant la vie privée des personnes concernées (57).
99. Les données concernant les bénéficiaires effectifs, qui sont accessibles par tout membre du grand public apparaissent revêtir donc un caractère moins sensible que certaines autres catégories de données à caractère personnel (58).
100. Dans ses observations, Sovim a, cependant, fait valoir que l’accès libre du public aux données visées à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 permettrait l’évaluation du patrimoine de la personne intéressée et permettrait d’identifier ses préférences quant à la nature et l’étendue de ses investissements. Lors de l’audience, Sovim a également fait valoir que l’accès à ces données permettrait d’effectuer des opérations d’intelligence économique à des fins de profilage.
101. À cet égard, je relève que si, certes, l’accès à des données concernant la nature et l’étendue des intérêts effectifs détenus dans une société permet d’acquérir certaines informations concernant le patrimoine d’une personne, deux considérations sont toutefois pertinentes. D’une part, les investissements dans des sociétés constituent généralement seulement une partie du patrimoine d’une personne, ce patrimoine étant normalement composé d’une série diversifiée d’investissements comprenant d’autres types d’investissements, tels que des placements dans des instruments financiers ou des investissements immobiliers. Le seul accès aux données concernant les investissements dans des sociétés permet ainsi d’acquérir généralement une vision limitée du patrimoine d’une personne. D’autre part, à moins que les intérêts effectifs dont la nature et l’étendue sont divulguées ne concernent des sociétés dont la valeur est, de quelque manière, publique, il ne paraît aucunement évident, sans d’autres informations, de déterminer la valeur précise d’une société ou d’un investissement constitué par la détention de parts dans cette société. Il s’ensuit que, même si ayant accès auxdites données, on peut acquérir une vision limitée du patrimoine d’une personne, celle-ci ne permet généralement pas de tirer des conclusions précises en ce qui concerne la quantification de ce patrimoine.
102. Des considérations similaires valent, à mon avis, pour le risque que l’accès à ces informations permette d’effectuer un profilage économique d’un individu. Si, certes, l’accès aux données mentionnées au point 98 des présentes conclusions permet d’identifier les domaines (ou, du moins, certains de ces domaines) dans lesquels un individu effectue des investissements, cet accès ne permet pas toutefois nécessairement de tirer des conclusions précises quant au profil d’investissement de cet individu. Sur ce point, je relève, de plus, que les modalités concrètes par lesquelles l’accès du public au registre s’effectue ont une incidence à cet égard et peuvent permettre de limiter davantage ce risque. Ainsi, j’observe que, au Luxembourg, la recherche sur Internet relative aux données en question peut s’effectuer exclusivement par référence à l’entité juridique et non pas à la personne du bénéficiaire effectif. L’absence de possibilité d’effectuer des recherches par personne dans le registre permet de limiter davantage un éventuel risque de profilage économique de la personne concernée.
103. Cela dit, je relève également que des données précises concernant la nature et l’étendue des intérêts effectifs détenus dans une société ou un autre entité juridique peuvent avoir une signification économique et commerciale indépendante, dans la mesure où, dans certains cas, elles peuvent permettre de comprendre la structure effective de contrôle de certaines sociétés qui pourrait ne pas être claire sur la base d’informations provenant d’autre sources d’informations.
104. En conclusion, il ressort de tout ce qui précède que la mise à disposition et la divulgation au public, par l’organisme chargé de la tenue d’un registre, des données telles que celles mentionnées au point 57 des présentes conclusions relatives aux bénéficiaires effectifs, ainsi que l’accès du public à ces données, constituent sans doutes des ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte. Cependant, j’estime que, en dépit du fait que, dans le cadre de la marge de manœuvre laissée par la directive 2015/849 aux États membres quant aux modalités de traitement des données à caractère personnel en cause, il n’est pas exclu qu’il y ait une diffusion à grande échelle de ces données en raison de la portée plutôt limitée des données à caractère personnel, objet des ingérences, et de leur nature non particulièrement sensible, les effets potentiellement nuisibles, pour les personnes visées par les ingérences en cause, peuvent être considérés comme étant modérés. Lesdites ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte entraînées par les opérations mentionnées aux points 88 et 89 des présentes conclusions, ne revêtent donc pas, à mes yeux, un caractère particulier de gravité, dès lors que des données d’une telle portée et nature ne permettent pas, à elles seules, d’obtenir des renseignements précis sur les personnes concernées et n’affectent donc pas directement et fortement l’intimité de leur vie privée.
105. Cela étant, il y a lieu toutefois encore de relever que les deuxième et troisième alinéas de l’article 30, paragraphe 5, de la directive 2015/849 laissent une marge de manœuvre aux États membres quant aux données qui peuvent être rendues accessibles au grand public. En effet, d’une part, ledit deuxième alinéa dispose que tout membre du grand public est autorisé à avoir accès « au moins » aux données y indiquées, ce qui laisse entendre que les États membres peuvent donner accès à des données supplémentaires. D’autre part, ledit troisième alinéa prévoit que les États membres peuvent, dans des conditions à déterminer par le droit national, donner accès à des « informations supplémentaires » permettant l’identification du bénéficiaire effectif, qui comprennent, au moins, la date de naissance ou les coordonnées, conformément aux règles en matière de protection des données.
106. Le législateur de l’Union a donc laissé une marge de manœuvre aux États membres pour étendre la quantité de données relatives aux bénéficiaires effectifs auxquelles le grand public peut avoir accès, allant ainsi au-delà des données indiquées dans la liste prévue à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849, et rappelées au point 96 des présentes conclusions.
107. Or, il est clair que cette possibilité d’étendre la quantité de données concernant les bénéficiaires effectifs accessibles au grand publique peut potentiellement donner lieu à davantage d’ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte à ces personnes. Outre la question du caractère indéterminé des données supplémentaires qui peuvent être ajoutées par les États membres à la liste des données accessibles par le grand public mentionnée audit deuxième alinéa et indiquée au point 96 des présentes conclusions (59), je relève que donner accès au public aux coordonnées précises d’une personne (entendues comme l’adresse de résidence ou de domicile), tel qu’envisagé à l’article 30, paragraphe 5, troisième alinéa, de la directive 2015/849, est, à mon avis, susceptible de comporter contrairement à ce que j’ai conclu au point 104 des présentes conclusions, une ingérence grave dans la vie privée d’une personne. La possibilité pour les États membres de rendre accessible des données supplémentaires doit ainsi faire l’objet d’une analyse propre.
3. Sur la justification des ingérences
108. Dès lors que le régime d’accès public mis en place par la directive 2015/849 donne lieu à des ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte, il convient de vérifier si ces limitations auxdits droits peuvent être justifiées en application des dispositions et des principes mentionnées aux points 79 et 80 des présentes conclusions.
a) Sur le respect de l’exigence selon laquelle toute limitation à l’exercice des droits énoncés aux articles 7 et 8 de la Charte doit être prévue par la loi
109. La première des conditions auxquelles doivent satisfaire les limitations à l’exercice des droits consacrés aux articles 7 et 8 de la Charte, visée tant à l’article 8, paragraphe 2, de celle-ci que, de manière générale, à son article 52, paragraphe 1, exige que de telles limitations soient « prévues par la loi ».
110. Selon une jurisprudence bien établie de la Cour (60), s’inspirant de la jurisprudence de la Cour européenne des droits de l’homme (61), l’exigence selon laquelle toute limitation à l’exercice d’un droit fondamental doit être « prévue par la loi » ne vise pas uniquement l’origine « légale » de l’ingérence, mais implique aussi que la base légale qui permet cette ingérence doit définir elle-même, de manière claire et précise, la portée de celle-ci. Ayant trait à la « qualité de la loi » et, donc, à l’accessibilité et à la prévisibilité de la mesure en cause, ce second volet que recouvre l’expression « prévue par la loi » au sens tant de l’article 52, paragraphe 1, de la Charte que de l’article 8, paragraphe 2, de celle-ci et de l’article 8 de la CEDH ne vise pas seulement à assurer le respect du principe de légalité et une protection adéquate contre l’arbitraire (62), mais répond également à un impératif de sécurité juridique.
111. En l’occurrence, je relève, premièrement, que l’obligation à la charge de l’organisme qui tient le registre des bénéficiaires effectifs de mettre à la disposition du public certaines données concernant les bénéficiaires effectifs qu’il a collectées et stockées, ainsi que la possibilité donnée au grand public d’accéder librement à ces données, se fondent sur l’article 30, paragraphe 5, sous c), de la directive 2015/849, ainsi que sur la disposition de la législation nationale qui a transposé cette norme.
112. Deuxièmement, tant les directives en cause, à savoir les directives 2015/849 et 2018/843, que la loi nationale de transposition ont été publiées dans des journaux officiels accessibles à toute personne. Dans ces conditions, les exigences de transparence de la base légale qui justifie les limitations en cause peuvent être considérées comme étant satisfaites (63).
113. Troisièmement, je constate que l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 prévoit de manière claire et précise une liste des données collectées et stockées que l’organisme chargé de la tenue du registre doit mettre à la disposition du public qui peut y accéder.
114. Cette constatation est faite, toutefois, sous réserve de la possibilité laissée aux États membres de rendre accessible au grand public des données supplémentaires en vertu de l’utilisation des termes « au moins » dans le deuxième alinéa ainsi qu’en vertu du troisième alinéa de l’article 30, paragraphe 5, de la directive 2015/849. En effet, s’il est vrai que l’accès du public aux « données supplémentaires » que les États membres peuvent prévoir en vertu de la disposition dudit troisième alinéa doit être lui aussi prévu par le droit national, doit être conforme aux règles en matière de protection des données et doit avoir pour finalité exclusive celle de permettre l’identification du bénéficiaire effectif, il n’en demeure pas moins que cette disposition est comparable à une disposition dite « texte libre » (64) ayant vocation à inclure, en plus de celles énumérées précisément dans la liste contenue dans ledit deuxième alinéa, une série d’informations supplémentaires qui ne sont pas exactement définies ni déterminables.
115. Or, lorsque des ingérences dans les droits fondamentaux établis par la Charte trouvent leur source dans un acte législatif de l’Union, il incombe au législateur de l’Union de fixer, dans le respect des critères de clarté et de précision indiquées dans la jurisprudence rappelée au point 110 des présentes conclusions (65), la portée exacte de ces ingérences. Il s’ensuit que, lorsque l’instrument choisi par ce législateur est une directive, il ne saurait, à mon sens, être délégué aux États membre, lors de la transposition de celle-ci dans leurs droits nationaux, la détermination d’éléments essentiels définissant la portée de l’ingérence, tels que, s’agissant de limitations aux droits fondamentaux énoncés aux articles 7 et 8 de la Charte, la nature et l’étendue des données à caractère personnel soumis à traitement.
116. En l’occurrence, en adoptant les directives 2015/849 et 2018/843, le législateur de l’Union a procédé lui-même à une limitation des droits consacrés aux articles 7 et 8 de la Charte. Les ingérences que ces directives permettent dans lesdits droits ne sauraient donc être considérées comme étant la conséquence du choix des États membres (66), malgré la marge d’appréciation dont ils bénéficient au moment de la transposition en droit national, mais trouvent leur base légale dans lesdites directives elles-mêmes. Dans ces conditions, il incombait au législateur de l’Union, conformément à la jurisprudence rappelée au point 110 des présentes conclusions, ainsi qu’aux normes élevées de protection des droits fondamentaux contenues notamment dans la Charte, d’identifier de manière claire et précise l’étendue et la nature des données à caractère personnel qui constituent l’objet de traitement. Une telle identification constitue, en effet, une opération essentielle, à laquelle toute base légale introduisant une mesure qui limite l’exercice des droits fondamentaux énoncés par les articles 7 et 8 de la Charte doit obligatoirement procéder de la manière la plus claire et précise possible (67).
117. Par conséquent, il y a lieu de conclure que, en l’occurrence, la base légale qui permet les ingérences, à savoir la directive 2015/849, définit elle-même, de manière claire et précise, la portée de la limitation aux droits fondamentaux concernés seulement en ce qui concerne les données accessibles par le grand public telles que précisément déterminées dans la liste contenue au deuxième alinéa de l’article 30, paragraphe 5, de la directive 2015/849. En revanche, la prévision, dans ce deuxième alinéa et dans le troisième alinéa de ce paragraphe 5, de la possibilité pour les États membres de rendre accessibles au grand public des données supplémentaires, qui ne sont pas précisément déterminées, ne satisfait pas à cette condition.
118. Il s’ensuit de ce qui précède que c’est seulement au regard de la liste de données contenue au deuxième alinéa de l’article 30, paragraphe 5, de la directive 2015/849 que les limitations à l’exercice des droits consacrés aux articles 7 et 8 de la Charte en cause sont prévues par la loi conformément à l’article 52 de la Charte.
119. En ce qui concerne spécifiquement les exigences prévues à l’article 8, paragraphe 2, de la Charte, il a été relevé au point 70 des présentes conclusions qu’elles sont concrétisées, notamment, aux article 5 et 6 du RGPD.
120. L’exigence relative à la licéité du traitement, à savoir l’exigence selon laquelle les données en cause doivent être traitées sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi (68), est prévue à l’article 5, paragraphe 1, sous a), du RGPD (69) et est concrétisée à l’article 6 de ce règlement qui prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Ainsi, pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus audit article 6 (70).
121. À cet égard, deux considérations sont à mon avis pertinentes.
122. En premier lieu, il convient de constater que le traitement de données à caractère personnel qui est effectué par l’organisme chargé de la tenue du registre des bénéficiaires effectifs dans la mise en œuvre de l’article 30, paragraphe 5, sous c), de la directive 2015/849 répond à plusieurs motifs de légitimation prévus à l’article 6 du RGPD (71).
123. En effet, ce traitement répond, premièrement, au motif prévu à l’article 6, point c), du RGPD, relatif au respect d’une obligation légale, dès lors que ledit organisme est soumis à l’obligation d’effectuer un tel traitement découlant de la loi, tel qu’indiqué au point 111 des présentes conclusions.
124. Ledit traitement répond, deuxièmement, au motif prévu à l’article 6, point e), du RGPD, relatif à l’exécution d’une mission d’intérêt public dont l’organisme est investi (72). En effet, en tenant le registre des bénéficiaires effectifs et en exerçant toutes les fonctions prévues à l’article 30 de la directive 2015/849 en ce qui concerne ce registre, cet organisme participe à la réalisation de l’objectif d’intérêt général visé par cette directive, à savoir la lutte et la prévention du blanchiment de capitaux et du financement du terrorisme (73). Par ailleurs, il ressort explicitement de l’article 43, paragraphe 1, de la directive 2015/849 que le traitement de données à caractère personnel sur la base de cette directive aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme, visée par celle-ci, est considéré comme une question d’intérêt public au titre du RGPD.
125. Troisièmement, le même traitement répond au motif prévu à l’article 6, point f), du RGPD, relatif à la réalisation d’un intérêt légitime poursuivi par le responsable du traitement ou par les tiers qui ont accès à ces données. En effet, en permettant d’accéder à ces données, ledit organisme permet à ces tiers de contribuer à l’objectif susmentionné.
126. En deuxième lieu, je relève qu’il ressort de la jurisprudence de la Cour, que ni l’article 5 ni l’article 6 du RGPD n’interdisent de manière générale et absolue que, en vertu d’une législation nationale, une autorité publique ou un organisme chargé par la loi de la tenue d’un registre, tel que le registre des bénéficiaires effectifs, soit habilité, voire contraint, à communiquer des données à caractère personnel au public lorsque cette communication est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique (74).
127. Il s’ensuit que les articles 5 et 6 du RGPD ne s’opposent pas per se à la tenue d’un registre contenant des données à caractère personnel qui soit accessible au grand public, à savoir à un nombre illimité et indéterminé de personnes, sans contrôle et justification et sans que la personne concernée puisse savoir qui a accès à ces données. La question qui se pose est plutôt celle de la proportionnalité d’une telle approche, à la lumière de l’objectif d’intérêt général poursuivi et en considération du niveau de gravité de l’ingérence dans les droits fondamentaux des personnes concernées.
128. Il ressort de ce qui précède que les traitements résultant de l’article 30, paragraphe 5, sous c), de la directive 2015/849 sont licites aux termes de l’article 8, paragraphe 2, de la Charte et de l’article 5, paragraphe 1, sous a) et paragraphe 6, du RGPD.
b) Sur le respect du contenu essentiel des droits énoncés aux articles 7 et 8 de la Charte
129. Toute restriction apportée à l’exercice des droits fondamentaux doit non seulement reposer sur une base légale suffisamment précise, mais également respecter le contenu essentiel de ces droits. L’exigence, énoncée à l’article 52, paragraphe 1, de la Charte, selon laquelle toute limitation aux droits ou libertés garantis par la Charte doit respecter le contenu essentiel de ceux‑ci implique que, lorsqu’une ingérence y porte atteinte, aucun objectif légitime ne saurait la justifier. L’ingérence est alors jugée contraire à la Charte sans qu’il faille examiner si elle est apte et nécessaire à la réalisation de l’objectif poursuivi (75).
130. À cet égard, il ressort tant du libellé de l’article 52, paragraphe 1, de la Charte, que de la jurisprudence de la Cour que l’appréciation portant sur l’existence d’une ingérence dans le contenu essentiel du droit fondamental en cause doit être menée préalablement à, et indépendamment de, l’évaluation de la proportionnalité de la mesure en cause, et que, partant il s’agit d’un test doté de sa propre autonomie (76).
131. Cela étant, en l’occurrence, à mon avis, les limitations à l’exercice des droits consacrés aux articles 7 et 8 de la Charte en cause, résultant des traitements des données mentionnées dans la liste prévue à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 ne donnent pas lieu à des atteintes au contenu essentiel de ces droits.
132. En effet, en ce qui concerne le droit au respect de la vie privée et familiale, ainsi qu’il ressort des points 96 à 104 des présentes conclusions, les ingérences résultant des traitements mentionnés au point précèdent, ne permettent pas d’obtenir des renseignements précis sur les personnes concernées et n’affectent donc pas directement et fortement l’intimité de leur vie privée. Il s’ensuit que les limitations de ce droit résultant du régime d’accès public aux informations concernant les bénéficiaires effectifs mis en place par la directive 2015/849 ne sauraient être considérées comme affectant le contenu essentiel du droit fondamental consacré à l’article 7 de la Charte (77).
133. En ce qui concerne le droit à la protection des données à caractère personnel, garanti à l’article 8 de la Charte, la Cour considère, dans sa jurisprudence, que le contenu essentiel de ce droit, est préservé lorsque les finalités du traitement sont circonscrites et que le traitement s’accompagne de règles destinées à assurer, notamment, la sécurité, la confidentialité et l’intégrité des données, ainsi qu’à les protéger contre les accès et les traitements illégaux (78).
134. À cet égard, il convient, d’abord, de relever que les finalités qui justifient le traitement des données concernant les bénéficiaires effectifs des sociétés dans le cadre du régime mis en place par l’article 30 de la directive 2015/849 sont circonscrites. En effet, le traitement de ces informations se justifie exclusivement pour atteindre les objectifs d’intérêt général indiqués dans cette directive et, pour ce qui est de l’accès du public à ces données, mentionnés aux points 138et suivants ci-dessous et, notamment, celui de la lutte et de la prévention du blanchiment de capitaux et du financement du terrorisme.
135. Ensuite, il ressort de l’article 41 de la directive 2015/849, ainsi que du considérant 38 de la directive 2018/843, que le RGPD s’applique aux traitements des données à caractère personnel effectués dans le cadre du régime de l’accès public aux informations concernant les bénéficiaires effectifs mis en place par ces deux directives. Celles-ci, ainsi qu’il a été relevé aux points 65 et 72 des présentes conclusions, doivent être interprétées de manière cohérente avec le RGPD. Or, le RGPD prévoit des règles destinées à assurer, notamment, la sécurité, la confidentialité et l’intégrité des données, ainsi qu’à protéger ces données contre les accès et les traitements illégaux.
136. Dans ces conditions, les limitations au droit à la protection des données à caractère personnel, garanti à l’article 8 de la Charte, résultant du régime d’accès public aux informations concernant les bénéficiaires effectifs mis en place par la directive 2015/849 ne sauraient être considérées comme affectant non plus le contenu essentiel de ce droit fondamental.
137. En ce qui concerne, en revanche, les « informations supplémentaires » mentionnées aux points 105 à 107, ainsi que 114 à 116 des présentes conclusions, celles-ci n’étant pas précisément définies, il n’est pas possible de déterminer si les limitations des droits fondamentaux en cause résultant du régime d’accès public à ces données est ou non susceptible d’affecter le contenu essentiel des droits consacrés aux articles 7 et 8 de la Charte.
c) Sur les objectifs d’intérêt général poursuivis par le régime d’accès public aux informations concernant les bénéficiaires effectifs
138. Pour pouvoir être justifiées conformément à l’article 52, paragraphe 1, de la Charte, les limitations aux droits fondamentaux garantis aux articles 7 et 8 de la Charte doivent répondre à des objectifs d’intérêt général.
139. À cet égard, je relève que la directive 2018/843 expose de manière plutôt détaillée, aux considérants 4, ainsi que 30 à 38 (79), les motivations qui ont amené le législateur de l’Union à modifier le régime d’accès public aux informations concernant les bénéficiaires effectifs, tel qu’initialement prévu dans la directive 2015/849.
140. Ainsi qu’il a déjà été mentionné aux points 50 et 60 des présentes conclusions, il ressort de ces considérants que ledit régime s’inscrit dans l’objectif principal de la directive 2015/849, édicté à son article 1er, paragraphe 1, à savoir la prévention de l’utilisation du système financier de l’Union aux fins du blanchiment de capitaux et du financement du terrorisme. Dans ce contexte, les modifications introduites par la directive 2018/843 ont visé à promouvoir un degré plus élevé de transparence en ce qui concerne les bénéficiaires effectifs et les structures de contrôle des entreprises, avec l’objectif principal de mettre en place un environnement moins susceptible d’être utilisé à des fins de blanchiment de capitaux et de financement du terrorisme (80). Dans ces conditions, dans la mesure où la directive 2018/843 vise non seulement à détecter le blanchiment de capitaux et à enquêter en la matière, mais aussi à le prévenir, l’amélioration de la transparence vise à constituer un puissant moyen de dissuasion (81).
141. Dans ce cadre, le considérant 30 de la directive 2018/843 fait mention d’un certain nombre de finalités spécifiques visées par le régime d’accès du public aux informations sur les bénéficiaires effectifs. Ainsi, un tel accès vise, premièrement, à permettre un contrôle accru des informations par la société civile, notamment la presse ou les organisations de la société civile. Deuxièmement, il contribue à préserver la confiance dans l’intégrité des transactions commerciales et du système financier. Troisièmement, il contribue à lutter contre le recours abusif à des sociétés et autres entités juridiques et constructions juridiques aux fins du blanchiment de capitaux ou du financement du terrorisme, à la fois en facilitant les enquêtes et par le biais de considérations de réputation, dans la mesure où quiconque susceptible de conclure des transactions connaît l’identité des bénéficiaires effectifs. Quatrièmement, il vise à faciliter la mise à disposition efficace et en temps utile d’informations pour les institutions financières et les autorités, notamment les autorités des pays tiers, impliquées dans la lutte contre ces infractions. Cinquièmement, il vise à être utile aux enquêtes sur le blanchiment de capitaux, sur les infractions sous-jacentes associées et sur le financement du terrorisme.
142. L’objectif matériel fondamental de la mesure en cause – à savoir la modification de l’article 30, paragraphe 5, sous c), de la directive 2015/849, résultant de la directive 2018/843, qui a supprimé l’exigence que toute personne ou organisation, démontre un « intérêt légitime » pour pouvoir accéder aux données concernant les bénéficiaires effectifs – est, dès lors, d’accroître la transparence afin de contribuer à la prévention du blanchiment des capitaux et du financement du terrorisme.
143. À cet égard, je relève, en premier lieu, qu’il ressort de la jurisprudence de la Cour que la prévention de l’utilisation du système financier de l’Union aux fins du blanchiment de capitaux et du financement du terrorisme constitue un objectif légitime auquel les États membres ont souscrit tant au niveau international (82) qu’au niveau de l’Union et qui est susceptible de justifier une entrave à des droits protégés par l’ordre juridique de l’Union (83).
144. En deuxième lieu, l’objectif de la mesure rappelée au point 142 ci-dessus est lié au principe de transparence, qui, comme il a été relevé aux points 38 à 48 des présentes conclusions, a une portée de droit primaire.
145. En troisième lieu, la Cour, dans sa jurisprudence, a reconnu que l’objectif de prévention du blanchiment de capitaux et du financement du terrorisme se rattache à l’objectif de protection de l’ordre public (84). De manière cohérente à cette jurisprudence, il convient de considérer que la mesure en cause vise à poursuivre l’objectif de prévention d’infractions pénales graves (le blanchiment de capitaux) et de prévention des menaces graves contre la sécurité publique (le terrorisme), objectifs qui, aux termes de la jurisprudence, sont de nature à justifier des ingérences, même graves, dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte (85).
d) Sur le respect du principe de proportionnalité
146. Selon l’article 52, paragraphe 1, seconde phrase, de la Charte, des limitations à l’exercice d’un droit fondamental reconnu par celle-ci ne peuvent être apportées que si elles respectent le principe de proportionnalité.
147. À cet égard, il convient de rappeler que le principe de proportionnalité exige, selon une jurisprudence constante de la Cour, que les actes des institutions de l’Union soient aptes à réaliser les objectifs légitimes poursuivis par la réglementation en cause et ne dépassent pas les limites de ce qui est approprié et nécessaire à la réalisation de ces objectifs (86).
1) Sur l’aptitude de la mesure à réaliser l’objectif poursuivi
148. Se pose, d’emblée, la question de savoir si la mesure en cause rappelée au point142 ci-dessus est apte à réaliser les objectifs poursuivis et mentionnés aux points 140 à 142 des présentes conclusions.
149. À cet égard, il n’apparaît pas contesté qu’un accès élargi aux informations concernant les bénéficiaires effectifs, tel que celui mis en place par ladite mesure, est susceptible d’exposer davantage des éventuels recours abusifs à des sociétés ou à d’autres entités et constructions juridiques aux fins du blanchiment de capitaux ou du financement du terrorisme et qu’un tel accès constitue un moyen apte à créer un environnement moins susceptible d’être utilisé pour des telles activités.
150. Il s’ensuit que ledit accès élargi constitue un moyen complémentaire de dissuasion de tels comportements qui est apte à contribuer à la prévention du blanchiment des capitaux et du financement du terrorisme (87).
2) Sur le caractère strictement nécessaire des ingérences
151. Conformément à la jurisprudence constante de la Cour, la protection du droit fondamental au respect de la vie privée au niveau de l’Union exige que les dérogations à la protection des données à caractère personnel et les limitations de celle‑ci s’opèrent dans les limites du strict nécessaire (88).
152. Cette exigence de nécessité n’est pas remplie lorsque l’objectif d’intérêt général visé peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict nécessaire (89).
153. En outre, un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés par la mesure, et ce en effectuant une pondération équilibrée entre, d’une part, l’objectif d’intérêt général et, d’autre part, les droits en cause (90).
154. Plus particulièrement, la proportionnalité d’une limitation aux droits consacrés aux articles 7 et 8 de la Charte doit être appréciée en mesurant la gravité de l’ingérence que comporte une telle limitation et en vérifiant que l’importance de l’objectif d’intérêt général poursuivi par cette limitation est en relation avec cette gravité (91).
155. Pour satisfaire à l’exigence de proportionnalité, la réglementation en cause comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données à caractère personnel sont concernées disposent de garanties suffisantes permettant de protéger efficacement ces données contre les risques d’abus. Elle doit indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, garantissant ainsi que l’ingérence soit limitée au strict nécessaire. La nécessité de disposer de telles garanties est d’autant plus importante lorsque les données à caractère personnel sont soumises à un traitement automatisé, notamment lorsqu’il existe un risque important d’accès illicite à ces données (92).
156. C’est à la lumière de ces principes qu’il y a lieu de vérifier le caractère strictement nécessaire des ingérences en cause.
i) Sur l’étendue des informations divulguées
157. Tout d’abord, se pose la question du caractère strictement nécessaire des traitements en cause – pour atteindre les objectifs d’intérêt général visés – au regard des types de données qui sont divulguées et auxquelles le grand public a accès. En effet, parmi les éléments dont la Cour tient compte pour apprécier le caractère proportionné d’une mesure comportant des ingérences dans les droits consacrés aux articles 7 et 8 de la Charte figure le caractère adéquat, pertinent et non excessif des données à caractère personnel traitées (93).
158. Par ailleurs, la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe dit de la « minimisation des données », consacré à l’article 5, paragraphe 1, sous c), du RGPD, selon lequel les données à caractère personnel doivent être « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement » (94). La juridiction de renvoi évoque explicitement cette disposition du RGPD dans sa troisième question, sous c), dans l’affaire C‑601/20.
159. Ainsi qu’il a déjà été relevé, seule une partie des données à caractère personnel fournies par les sociétés et autres entités juridiques au registre des bénéficiaires effectifs aux termes de l’article 30, paragraphes 1 et 3, de la directive 2015/849 est accessible au grand public. Sous réserve des « informations supplémentaires » mentionnées aux points 105 à 107, ainsi que 114 à 116 des présentes conclusions, il s’agit des données indiquées dans la liste contenue au deuxième alinéa du paragraphe 5 dudit article 30, données qui ont été mentionnées au point 57 des présentes conclusions. D’autres données qui peuvent être conservées dans ce registre et qui sont accessibles aux autorités en charge de la lutte contre le blanchiment des capitaux et le financement du terrorisme, telles que, par exemple au Luxembourg, le numéro d’identité nationale et l’adresse précise, ne sont pas accessibles au grand public. Sauf en ce qui concerne les dites « informations supplémentaires », les données qui font l’objet du traitement sont donc identifiées de manière claire et précise, comme l’exige la jurisprudence (95).
160. Néanmoins, il convient de se demander si ces données peuvent être considérées comme non excessives au regard des finalités poursuivies par le régime d’accès public mis en place par la directive 2015/849.
161. À cet égard, il convient de relever que le considérant 34 de la directive 2018/843 prévoit expressément le respect de l’exigence de minimisation des données lorsqu’il énonce que « [l]’ensemble des données devant être mises à la disposition du public devrait être limité, défini de manière claire et exhaustive, et être de nature générale, de manière à réduire au minimum le préjudice susceptible d’être causé aux bénéficiaires effectifs. Dans le même temps, les informations mises à la disposition du public ne devraient pas différer sensiblement des données actuellement collectées. Afin de limiter l’atteinte au droit au respect de la vie privée, en général, et à la protection des données à caractère personnel, en particulier, des bénéficiaires effectifs [...], ces informations devraient porter essentiellement sur le statut desdits bénéficiaires effectifs et devraient concerner strictement le domaine d’activité économique dans lequel les bénéficiaires effectifs opèrent ».
162. Ainsi qu’il a été relevé aux points 96 à 98 des présentes conclusions, les données accessibles au public correspondent à deux catégories visant respectivement à identifier la personne du bénéficiaire effectif et la nature et l’étendue des intérêts effectifs détenus par celui-ci.
163. Concernant la première catégorie de données, j’estime que l’indication du nom, du mois et de l’année de naissance peut être considérée comme un ensemble minimal et suffisant de données permettant d’identifier de façon précise la personne du bénéficiaire effectif. Quant à la nationalité (96) et au pays de résidence, ces données permettent, d’une part, de préciser cette identification et, d’autre part, de fournir des clarifications sur le caractère local ou non de l’investissement ou de la participation, ce qui apparaît être une information pertinente et nécessaire pour déterminer des éventuels risques de blanchiment des capitaux ou de financement du terrorisme.
164. Concernant la seconde catégorie de données, il me semble également que l’indication de la nature et de l’étendue des intérêts effectifs détenus constitue un ensemble minimal et suffisant de données permettant d’identifier la portée de l’investissement ou la participation, ce qui est également pertinent pour l’appréciation des risques de recours abusifs à des sociétés et autres entités juridiques aux fins du blanchiment de capitaux ou du financement du terrorisme.
165. En ce qui concerne les « informations supplémentaires » susmentionnées, que les États membres peuvent rendre accessibles au grand public en application de la marge de manœuvre que leur laisse l’article 30, paragraphe 5, deuxième et troisième alinéas, de la directive 2015/849, tout d’abord, comme il a été relevé aux points 114 à 116 des présentes conclusions, elles ne sont pas identifiées de manière claire et précise. Elles ne satisfont donc pas l’exigence de proportionnalité, ainsi qu’il ressort de la jurisprudence mentionnée au point 155 des présentes conclusions. En outre, elles n’apparaissent pas non plus comme nécessaires aux fins de l’identification du bénéficiaire effectif. La personne du bénéficiaire effectif peut, en effet, être identifiée, conformément au principe de la minimisation des données, sur la base des informations indiquées dans la liste contenue dans ledit deuxième alinéa (97).
ii) Sur l’étendue des personnes ayant accès aux données concernant les bénéficiaires effectifs et sur le régime d’accès à ces données
166. Se pose, ensuite, la question du caractère strictement nécessaire, pour atteindre les objectifs d’intérêt général visés, de la possibilité d’accéder aux données en cause par le grand public, à savoir par un nombre illimité et non déterminable de personnes. À cette question se lie celle du caractère strictement nécessaire de la prévision d’un accès auxdites données sans contrôle ni justification. Cette seconde question, concernant les conditions d’accès des tiers, découle directement de l’abolition par la directive 2018/843 de la nécessité de démontrer, aux fins dudit accès, l’existence d’un intérêt légitime, comme il était initialement prévu dans la version originaire de l’article 30, paragraphe 5, sous c) de la directive 2015/849. La juridiction de renvoi évoque toutes ces questions dans le cadre de sa troisième question, sous a), dans l’affaire C‑601/20.
167. En ce qui concerne la question de l’accès par un nombre illimité et non déterminable de personnes aux données en cause, je relève qu’il s’agit d’une conséquence inhérente au choix d’établir un régime d’accès public à un registre. En effet, tout registre public est accessible, potentiellement, par un nombre illimité et non déterminable de personnes. À cet égard, il ressort des points126 et 127 des présentes conclusions, que, aux termes de la jurisprudence, le droit de l’Union ne s’oppose pas per se à la tenue d’un registre contenant des données à caractère personnel qui soit accessible au public.
168. Or, ainsi qu’il a été relevé au point 77 des présentes conclusions, la première question dans l’affaire C‑601/20 ne vise pas à remettre en question le choix par le législateur de l’Union d’établir un registre des bénéficiaires effectifs qui soit public, à savoir accessible par des tiers et non pas seulement par les autorités publiques. Cette question vise exclusivement les conditions d’accès à ce registre par les tiers, à savoir l’abolition par la directive 2018/843 de la nécessité de démontrer l’existence d’un intérêt légitime aux fins dudit accès.
169. Néanmoins, dans ses observations, Sovim remet en doute le caractère nécessaire de l’accès par le grand public aux fins de la lutte contre le blanchiment de capitaux et le financement du terrorisme. Plus spécifiquement, Sovim fait valoir que l’accès public aux informations sur les bénéficiaires effectifs ne serait ni utile ni nécessaire à ces fins, parce que ce seraient les autorités publiques compétentes, lesquelles disposent d’importants moyens et d’outils juridiques à leur disposition, qui assureraient cette lutte. À mon avis, toutefois, cet argument méconnaît que le régime d’accès public aux informations concernant les bénéficiaires effectifs, tout en étant complémentaire aux missions des autorités de détection et de répression desdites activités criminelles, vise précisément l’objectif de la prévention de ces activités. Ainsi qu’il ressort des considérants 30 à 33 de la directive 2018/843 (98) et ainsi qu’il a été relevé aux points 140 et suivants des présentes conclusions, c’est la poursuite de cet objectif de prévention qui a guidé le législateur de l’Union dans la réforme de 2018.
170. Or, dans ce contexte, si l’objectif visé est celui de mettre en place un environnement moins susceptible d’être utilisé à des fins de blanchiment de capitaux et de financement du terrorisme et si le moyen choisi est le renforcement du niveau de transparence concernant les bénéficiaires effectifs afin de garantir un contrôle accru des informations par la société civile, il apparaît nécessaire d’établir, à ces fins, un registre public concernant les bénéficiaires effectifs qui soit accessible par des tiers. Ces tiers comprennent notamment (mais non pas exclusivement) la presse ou les organisations de la société civile (99), à savoir celles appelées les « auxiliaires démocratiques » (100) et qui jouent un rôle fondamental pour garantir le contrôle de la société civile sur des activités qui peuvent avoir un impact sur des intérêts essentiels de la communauté (101). Un tel objectif n’apparaît pas réalisable par d’autres moyens (102).
171. Cela étant, cependant, conformément à la jurisprudence mentionnée au point 152 des présentes conclusions, l’analyse de la stricte nécessité de l’ingérence en cause implique d’examiner si cet objectif de prévention du blanchiment de capitaux et du financement du terrorisme, réalisé au moyen du renforcement du niveau de transparence, ne pourrait pas également être atteint d’une manière moins restrictive pour les droits des personnes concernées qu’en garantissant l’accès à tout membre du grand public sans contrôle ni justification. Plus précisément, il convient de vérifier si cet objectif ne peut pas être atteint en limitant l’accès aux informations concernant les bénéficiaires effectifs, comme c’était le cas avant la réforme du 2018, seulement aux personnes pouvant démontrer l’existence d’un intérêt légitime à accéder à ces données. Il s’agit de la seconde question mentionnée au point 165 des présentes conclusions, concernant les conditions pour l’accès.
172. À cet égard, il convient de relever qu’il ressort de l’analyse d’impact effectué par la Commission (103) – accompagnant la proposition de directive qui a conduit à l’adoption de la directive 2018/843 (104) –, que l’application du critère de l’intérêt légitime, dont la définition sous l’empire de la version initiale de la directive 2015/849, était laissée au droit national des États membres, avait donné lieu à des limitations excessives de la possibilité d’accéder au registre des bénéficiaires effectifs et à un manque d’uniformité dans les conditions d’accès à ce registre dans l’Union.
173. Plus précisément, les États membres avaient mis en exergue des difficultés à définir la notion d’intérêt légitime et à déterminer les catégories de personnes et organisations qui auraient dû être en mesure de démontrer un intérêt légitime en ce qui concerne la prévention du blanchiment de capitaux et le financement du terrorisme. Ainsi que l’a relevé la Commission lors de l’audience, cette difficulté à définir ladite notion avait eu comme conséquence, dans certains cas, une limitation excessive de l’accès aux informations contenues dans le registre.
174. L’application du critère de « l’intérêt légitime » avait également rendu compliqué et lent l’accès « intra-Union » au registre, à savoir l’accès d’entités assujetties d’autres États membres et des cellules de renseignement financier d’autres États membres. En particulier, pour accéder au registre d’un État membre, une cellule de renseignement financier d’un autre État membre devait demander l’accès à la cellule de l’État membre en question ce qui était susceptible de rendre la procédure beaucoup plus pesante et lente.
175. Cette analyse d’impact relevait que, en revanche, l’ouverture pleine du registre, en abolissant la condition de la démonstration préalable d’un intérêt légitime pour y accéder, aurait rendu l’accès plus simple, rapide, moins complexe et plus cohérent au niveau de l’Union.
176. À mon avis, ces considérations montrent bien que si, afin d’atteindre l’objectif de prévention, mentionné aux points 140 à 142 et 170 des présentes conclusions, la mesure en cause vise à parvenir au niveau maximum de transparence possible concernant les données en cause et à réduire au minimum les obstacles à l’accès à ces données qui seraient susceptibles d’entraver un accès efficace et rapide à celles-ci, tant par les membres du public, que par toute autre personne ou organisations intéressées à y accéder, alors il est nécessaire d’abolir la condition tirée de la démonstration préalable d’un intérêt légitime aux fins dudit accès (105). Alors que l’accès à l’information sur les bénéficiaires effectifs est, de manière générale, un facteur clé pour remonter jusqu’aux criminels (106), seulement ainsi, par ladite abolition, il peut être garanti qu’il n’y aura pas d’obstacle à l’accès à ces données et le niveau maximum de transparence possible sera atteint.
177. Il s’ensuit que pour atteindre ledit objectif de prévention du blanchiment de capitaux et du financement du terrorisme au moyen du renforcement du niveau de transparence au regard des bénéficiaires effectifs des sociétés et autres entités juridiques, l’abolition de la condition de la démonstration de l’intérêt légitime apparaît comme strictement nécessaire.
178. Des considérations analogues valent, à mon avis, pour un autre élément du régime d’accès public établi par la directive 2015/849, à savoir la circonstance – mis en exergue par la juridiction de renvoi dans le cadre de sa troisième question, sous a), premier tiret, et sous e), deuxième tiret, posée dans l’affaire C‑601/20 –, que les informations concernant les bénéficiaires effectifs sont accessibles sans que la personne concernée puisse savoir qui a eu accès aux données à caractère personnel la concernant.
179. En effet, ainsi que la Commission l’a relevé à juste titre, la communication au bénéficiaire effectif, de l’accès aux informations le concernant, d’autant plus si ladite communication est automatique, peut potentiellement avoir un effet dissuasif pour l’accès à ces informations, nuisant ainsi à l’objectif de prévention au moyen du renforcement du niveau de transparence. En effet, ainsi qu’il a été relevé lors de l’audience, il n’est pas exclu que, dans certains cas, des personnes cherchant à accéder à des informations pour enquêter sur des comportements criminels, par exemple des journalistes, puissent être exposées à de potentielles représailles. En outre, la prévision d’une telle communication à la personne concernée pourrait également mettre en danger d’éventuelles activités d’investigation en mettant en alerte cette personne. Il s’ensuit que cet élément du régime d’accès public apparaît également comme étant nécessaire pour atteindre l’objectif de prévention, mentionné aux points 140 à 142 et 170 des présentes conclusions.
180. À cet égard, il convient encore de relever que, aux termes de l’article 14, paragraphe 5, sous c), du RGPD, les dispositions concernant les informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée ne s’appliquent pas, notamment, « lorsque l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union [...] auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ». Cette disposition trouve justement application lorsque le droit de l’Union prévoit un régime d’accès public à un registre contenant certaines données à caractère personnel, à condition que ce régime respecte le principe de proportionnalité (107).
181. Cela étant, je relève que, ainsi qu’il ressort des termes de l’article 30, paragraphe 5bis, de la directive 2015/849, les États membres peuvent décider de conditionner la mise à disposition des informations conservées dans les registres des bénéficiaires effectifs à une inscription en ligne. Il ressort du considérant 36 de la directive 2018/843 que cette inscription peut être prévue « afin de pouvoir connaître l’identité de toute personne demandant des informations consignées dans le registre ». Ainsi qu’il sera discuté plus en détail aux points 204 à 208 ci-dessous, la communication ex post de cette identité pourrait se révéler nécessaire pour permettre à la personne intéressée, à savoir le bénéficiaire effectif, de poursuivre des éventuels abus découlant d’une utilisation abusive des données le concernant.
iii) Sur le système de dérogations prévu à l’article 30, paragraphe 9, de la directive 2015/849
182. Ainsi que je l’ai relevé au point 76 des présentes conclusions, le caractère proportionné des limitations aux droits fondamentaux garantis aux articles 7 et 8 de la Charte résultant du régime d’accès public aux informations contenues dans le registre des bénéficiaires effectifs prévu à l’article 30, paragraphe 5, de la directive 2015/849, ne peut être apprécié qu’en prenant en compte le régime de dérogations à cet accès mis en place par le paragraphe 9 de cet article. La juridiction de renvoi soulève la question de la validité de ce régime de dérogations à l’aune desdits droits fondamentaux dans sa deuxième question, sous b), posée dans l’affaire C‑601/20.
183. Aux termes dudit article 30, paragraphe 9, « dans des circonstances exceptionnelles à définir en droit national, lorsque l’accès visé au paragraphe 5, premier alinéa, [sous] b) et c), exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est autrement frappé d’incapacité, les États membres peuvent prévoir des dérogations concernant l’accès à tout ou partie des informations sur les bénéficiaires effectifs au cas par cas ».
184. Il ressort du considérant 36 de la directive 2018/843 que ces dérogations sont prévues « dans le but d’assurer une approche proportionnée et équilibrée et de garantir les droits au respect de la vie privée et à la protection des données à caractère personnel » (108).
185. À cet égard, il convient de relever que la disposition du même article 30, paragraphe 9, semble reconnaître une marge d’appréciation aux États membres lorsqu’elle utilise les termes « peuvent prévoir ». Ces termes semblent attribuer aux États membres une simple faculté de prévoir des dérogations concernant l’accès du grand public aux informations sur les bénéficiaires effectifs.
186. Il convient, toutefois, de relever qu’il ressort d’une jurisprudence constante que, dès lors que la transposition d’une directive par les États membres relève en tout état de cause de la situation, visée à l’article 51 de la Charte, dans laquelle les États membres mettent en œuvre le droit de l’Union, le niveau de protection des droits fondamentaux prévu par la Charte doit être atteint lors d’une telle transposition, indépendamment de la marge d’appréciation dont disposent les États membres lors de cette transposition (109).
187. La Cour en a déduit qu’il incombe dès lors aux États membres, lors de la transposition d’une directive et, notamment, des exceptions ou des limitations visées par celle‑ci, de veiller à se fonder sur une interprétation de ces dernières qui permette d’assurer un juste équilibre entre les différents droits fondamentaux protégés par l’ordre juridique de l’Union (110).
188. Il s’ensuit que, lors de la mise en œuvre des mesures de transposition d’une directive, il incombe aux autorités et aux juridictions des États membres non seulement d’interpréter leur droit national d’une manière conforme à cette directive, mais également de veiller à ne pas se fonder sur une interprétation de ladite directive qui entrerait en conflit avec lesdits droits fondamentaux ou avec les autres principes généraux du droit de l’Union, tels que le principe de proportionnalité (111).
189. Ces principes issus de la jurisprudence s’appliquent à plus forte raison en l’occurrence, lorsqu’il s’agit de prévoir des dérogations à l’accès du public aux informations concernant les bénéficiaires effectifs. En effet, bien que cet accès ait une importance considérable dans le cadre de la prévention du blanchiment de capitaux et du financement du terrorisme et soit lié au principe de transparence qui, comme je l’ai relevé aux points 38 à 48 des présentes conclusions, a une portée de droit primaire, il ne relève pas toutefois des droits fondamentaux.
190. Il résulte des considérations qui précèdent que, dans une situation telle que celle des présentes affaires, lorsqu’ils mettent en œuvre le régime d’accès public aux informations contenues dans le registre des bénéficiaires effectifs prévu par la directive 2015/849, les États membres ne peuvent pas s’abstenir d’assurer la protection des droits fondamentaux des bénéficiaires effectifs telle que prévue par la Charte.
191. Lors de la transposition et de la mise en œuvre de la directive 2015/849, indépendamment de la marge d’appréciation que celle-ci leur confère, les États membres sont dès lors tenus d’assurer la protection des droits fondamentaux contre toute atteinte disproportionnée à ces droits. Cette protection n’est donc pas limitée exclusivement aux risques disproportionnés dans les sept hypothèses de risques expressément spécifiées à l’article 30, paragraphe 9, de la directive 2015/849, mais couvre tous les droits fondamentaux des bénéficiaires effectifs. Par conséquent, conformément à la Charte, il y a lieu de considérer que les États membres n’ont pas seulement la faculté d’accorder des dérogations, mais ils doivent accorder des dérogations limitant l’accès du public aux informations concernant un bénéficiaire effectif, en cas d’atteinte disproportionnée aux droit fondamentaux de celui-ci.
192. Il s’ensuit que l’article 30, paragraphe 9, de la directive 2015/849, lu à la lumière de la Charte, et notamment de l’article 51, paragraphe 1, de celle-ci, doit être interprété en ce sens que les États membres ne disposent pas seulement de la faculté, de prévoir des dérogations à l’accès du grand public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques contenues dans les registres nationaux des bénéficiaires effectifs, mais sont tenus de les prévoir et de les accorder lorsque cet accès exposerait le bénéficiaire effectif, dans des circonstances exceptionnelles, à un risque disproportionné d’atteinte à ses droits fondamentaux, tels que prévus par la Charte.
193. Interprété de cette manière il n’y a, à mon avis, aucun élément qui affecterait la validité de la disposition de l’article 30, paragraphe 9, de la directive 2015/849.
iv) Sur l’existence de garanties suffisantes contre les risques d’abus
194. Enfin, se pose toute une série de questions concernant l’existence de garanties suffisantes dans la réglementation en cause comportant l’ingérence, permettant de protéger les personnes concernées, à savoir les bénéficiaires effectifs contre les risques d’abus. Ces exigences, nécessaires pour assurer le respect du principe de proportionnalité, découlent tant de la jurisprudence rappelée au point 155 des présentes conclusions, que de différentes dispositions du RGPD auxquelles la juridiction de renvoi fait référence dans le cadre de sa troisième question dans l’affaire C‑601/20.
– Sur le principe de la limitation des finalités
195. En premier lieu, se pose la question, mise en exergue par la juridiction de renvoi dans le cadre de sa troisième question, sous b), du respect du principe de la limitation des finalités, prévu explicitement à l’article 5, paragraphe 1, sous b), du RGPD (112).
196. Se pose ainsi la question de savoir s’il est compatible avec l’exigence de proportionnalité, à la lumière de ladite disposition, que les données concernant les bénéficiaires effectifs soient accessibles au grand public sans que le responsable du traitement de ces données, à savoir l’autorité ou l’organisme responsable de la tenue du registre, puisse garantir que lesdites données soient utilisées exclusivement pour la finalité pour laquelle elles ont été collectées, à savoir, en substance, la lutte contre le blanchiment de capitaux et le financement du terrorisme (113).
197. À cet égard, il importe de rappeler qu’il ressort de la jurisprudence que tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs au traitement des données énoncés à l’article 5 du RGPD et, d’autre part, répondre à l’un des principes relatifs à la licéité du traitement énumérés à l’article 6 dudit règlement (114). Ainsi qu’il a déjà été rappelé au point119 des présentes conclusions, ces deux dispositions concrétisent les exigences prévues à l’article 8, paragraphe 2, de la Charte.
198. Lorsqu’il y a différentes personnes impliquées dans le traitement de certaines données, la Cour, dans sa jurisprudence, examine les opérations spécifiques concernées par le traitement de ces données pour identifier le ou les responsables pertinents du traitement (115). Dans de telles situations, la Cour a jugé que la notion de « responsable du traitement » ne renvoie pas nécessairement à un organisme unique et peut concerner plusieurs acteurs, chacun d’entre eux étant alors soumis aux dispositions applicables en matière de protection des données (116).
199. En l’occurrence, la mise à disposition des données en cause au grand public par le gestionnaire du registre et l’accès du grand public à ces données sont les deux faces d’une même médaille. En effet, en divulguant, en application de l’obligation prévue à l’article 30, paragraphe 5, sous c), de la directive 2015/849 les informations concernant les bénéficiaires effectifs, le gestionnaire du registre donne la possibilité aux membres du grand public d’accéder librement à ces informations. Ainsi qu’il ressort des considérations exposées aux points 142 et 171 à 177 des présentes conclusions, la prévision de cet accès libre a été considérée nécessaire par le législateur de l’Union afin de contribuer à la prévention du blanchiment des capitaux et du financement du terrorisme au moyen du renforcement du niveau de transparence au regard des bénéficiaires effectifs des sociétés et autres entités juridiques.
200. Cependant, ainsi qu’il a été relevé au point 89 des présentes conclusions, le membre du grand public est susceptible également d’être considéré comme responsable du traitement au sens de l’article 4, point 2, du RGPD dès l’instant où il accède aux données contenues dans le registre ainsi que des traitements successifs (117).
201. Il s’ensuit que, en application de l’exigence rappelée au point 197 des présentes conclusions, lorsqu’il exécute toute opération future de traitement de données, le membre du grand public devra alors lui aussi veiller à se conformer aux principes relatifs à la qualité des données énoncés à l’article 5 du RGPD et à fonder son ou ses opérations de traitement sur l’un des cas prévus à l’article 6, paragraphe 1, du RGPD (118).
202. Dans ce contexte, d’une part, en ce qui concerne la circonstance exposé par la juridiction de renvoi que l’organisme responsable de la tenue du registre ne serait pas en mesure de garantir que lesdites données soient utilisées exclusivement pour la finalité pour laquelle elles ont été collectées, il ressort de la jurisprudence de la Cour qu’une personne physique ou morale ne saurait être considérée comme étant responsable des opérations antérieures ou postérieures de la chaîne de traitement dont elle ne détermine ni les finalités ni les moyens (119).
203. D’autre part, il ressort de l’exigence rappelée au point 197 des présentes conclusions que toute utilisation ultérieure des données par un membre du grand public qui n’est pas conforme à l’article 6 du RGPD ne sera pas licite. Elle pourra ainsi faire l’objet de mesures visant à l’arrêter, y inclus des demandes en déréférencement contre le responsable du moteur de recherche aux termes de l’article 17, paragraphe 1, sous d), du RGPD.
204. À cet égard, je relève encore qu’il ressort du considérant 38 de la directive 2018/843 que, afin de prévenir l’utilisation abusive des informations contenues dans les registres et de rééquilibrer les droits des bénéficiaires effectifs, les États membres pourraient juger opportun de mettre à la disposition du bénéficiaire effectif des informations relatives au demandeur ainsi que la base juridique pour sa demande.
205. Une telle possibilité présuppose, toutefois, que l’organisme ou l’autorité en charge de la tenue du registre des bénéficiaires effectifs, tel que, en l’espèce LBR, ait connaissance de l’identité des personnes qui accèdent aux donnés y contenues, ce qui présuppose l’exigence d’une inscription, notamment en ligne, pour pouvoir accéder auxdites données, une telle inscription étant envisagée, uniquement en tant que possibilité, à l’article 30, paragraphe 5 bis, de la directive 2015/849.
206. Or, bien que j’aie relevé, aux points 99 et 104 des présentes conclusions que, en l’occurrence, les données en cause n’apparaissent pas comme étant particulièrement sensibles et que les effets potentiellement nuisibles pour les personnes visées par les ingérences en cause peuvent être considérés modérés, il n’en demeure pas moins que des risques de possible utilisation illicite ou abusive de ces données ne peuvent pas être exclus.
207. Il s’ensuit que, afin de garantir que les personnes concernées, à savoir les bénéficiaires effectifs, disposent de garanties suffisantes permettant de les protéger efficacement contre les risques d’abus, il s’avère, à mon avis, nécessaire, que les organismes ou autorités en charge de la tenue des registres des bénéficiaires effectifs dans les États membres puissent avoir connaissance de l’identité des membres du grand public qui accèdent à ces registres et puissent, lorsque cela se révèle nécessaire pour garantir le respect des droits fondamentaux, notamment ceux garantis par les articles 7 et 8 de la Charte, mettre à la disposition du bénéficiaire effectif des informations relatives à ces personnes.
208. Ainsi, à mon avis, une interprétation de la directive 2015/849 qui soit conforme aux droits fondamentaux garantis aux articles 7 et 8 de la Charte requiert que la possibilité prévue à l’article 30, paragraphe 5 bis, de la directive 2015/849 de conditionner la mise à disposition des informations conservée dans les registres nationaux des bénéficiaires effectifs à une inscription en ligne soit considérée comme une obligation à la charge des États membres de garantir que les organismes ou autorités en charge de la tenue des registres des bénéficiaires effectifs aient connaissance de l’identité des personnes qui accèdent au registre (120).
– Sur l’intégrité et la confidentialité des données
209. Se pose, en second lieu, la question mise en exergue par la juridiction de renvoi dans le cadre de la troisième question, sous d), dans l’affaire C‑601/20, concernant le respect du principe de l’intégrité et de la confidentialité des données tel que prévu à l’article 5, paragraphe 1, sous b), du RGPD.
210. Se pose ainsi la question de la compatibilité avec l’exigence de proportionnalité de l’accès sans limite et sans condition, sans engagement de confidentialité aux données à caractère personnel des bénéficiaires effectifs disponibles au registre créé conformément à l’article 30 de la directive 2015/849, à la lumière des exigences découlant de ladite disposition du RGPD qui impose que le traitement des données doit se faire de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite, garantissant ainsi l’intégrité et la confidentialité de ces données.
211. Le principe de l’intégrité et de confidentialité couvre le principe dit de « sécurité des données » qui exige, notamment, que des mesures techniques ou organisationnelles appropriées soient mises en œuvre pour prévenir les effets nuisibles pour la personne concernée. Ce principe est lié aux articles 24 et 32 du RGPD, et complété par ces derniers, qui contiennent les dispositions concernant, respectivement, la responsabilité du responsable du traitement et la sécurité du traitement.
212. En ce qui concerne, spécifiquement, l’intégrité des données, je relève qu’il ressort du considérant 38 de la directive 2018/843 que « seules les données à caractère personnel qui sont à jour et qui correspondent aux véritables bénéficiaires effectifs devraient être mises à disposition ». Il s’ensuit que seules des informations correctes, telles que communiquées au registre par la société ou autres entités juridiques concernées, sont diffusées et accessibles. De manière cohérente avec ce qui a été affirmé au point202 des présentes conclusions, dans un cas comme celui de l’espèce, le gestionnaire ne saurait être considéré comme étant responsable d’éventuelles modifications ou manipulations intervenues dans le cadre de traitements ultérieurs.
213. Cependant, il revient aux États membres de garantir que l’organisme ou l’autorité en charge de la tenue du registre des bénéficiaires effectifs met en place des mesures techniques et organisationnelles suffisantes pour empêcher tout traitement non autorisé des données contenues dans le registre. Il appartient à la juridiction de renvoi de vérifier, in concreto, si cela est le cas en l’occurrence (121).
v) Sur la pondération équilibrée entre l’objectif d’intérêt général et les droits fondamentaux en cause
214. C’est en prenant en compte tous les éléments qui ont été analysés dans les présentes conclusions, qu’il convient, à mon avis, d’effectuer la pondération équilibrée entre l’objectif d’intérêt général poursuivi par le régime d’accès public au registre des bénéficiaires effectifs mis en place par la directive 2015/849 et les droits fondamentaux en cause, à savoir les droits consacrés aux articles 7 et 8 de la Charte.
215. Tout d’abord, il a été relevé aux points 110 à 118 des présentes conclusions que c’est seulement au regard de la liste de données contenue au deuxième alinéa de l’article 30, paragraphe 5, de la directive 2015/849, que les limitations à l’exercice des droits résultant de ce régime sont prévues par la loi conformément à l’article 52 de la Charte. Il s’ensuit que cette pondération concernera exclusivement ces données et non pas les « informations supplémentaires » mentionnées aux points 105 à 107, 114 à 116, 159 et 165 des présentes conclusions.
216. Ensuite, ainsi qu’il a été relevé dans le cadre de l’analyse des ingérences, spécifiquement aux points 91 à 94 des présentes conclusions, ledit régime d’accès public aux informations concernant les bénéficiaires effectifs garantit un accès très large à ces informations et sans nécessité de prouver un intérêt quelconque pour y accéder. Couplé avec des modalités d’accès automatisés, telles que, comme au Luxembourg, l’accès libre par Internet, ce régime peut donner lieu à une diffusion à grande échelle des données en cause relatives aux bénéficiaires effectifs.
217. Néanmoins, ce régime n’aboutit pas, à mon avis, à une ingérence disproportionnée dans les droits fondamentaux des personnes concernées, notamment leur droit au respect de la vie privée ainsi que leur droit à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte.
218. En effet, en premier lieu, ainsi qu’il ressort des points 95 à 102 des présentes conclusions, – sous la réserve desdites « informations supplémentaires » –, ce régime permet l’accès public uniquement à un nombre plutôt limité de données à caractère personnel (122). Ainsi, bien que ce régime puisse entraîner une diffusion à grande échelle de ces données, en raison de la portée limitée des données à caractère personnel, objet des ingérences, et de leur nature non particulièrement sensible, les effets potentiellement nuisibles pour les personnes visées par les ingérences sont modérés.
219. En deuxième lieu, ainsi qu’il a été relevé au point 91 des présentes conclusions, le régime d’accès public mis en place par la directive 2015/849 ne concerne pas un nombre indéfini et indifférencié de personnes, mais exige une relation entre ces personnes, à savoir les bénéficiaires effectifs, et la finalité du traitement, à savoir la prévention du blanchiment des capitaux et du financement du terrorisme.
220. À cet égard, il convient de relever que la Cour a déjà jugé qu’il est justifié que les personnes physiques choisissant de participer aux échanges économiques par l’intermédiaire de sociétés ou d’autres entités juridiques soient obligées de rendre publiques certaines données tenant à leur identité et à leurs rôles ou intérêts au sein de celles-ci, en raison de la poursuite d’objectifs d’intérêt général qui sont, de quelques manière, liés à ce choix (123).
221. Ainsi qu’il a été rappelé au point 79 des présentes conclusions, les droits consacrés aux articles 7 et 8 de la Charte ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société. Dans ce contexte, il apparaît, à mon avis, justifiable d’imposer des limitations non graves à ces droits à des personnes ayant choisi de participer aux échanges économiques par l’intermédiaire de sociétés ou autres entités juridiques, aux fins de prévenir des activités criminelles graves telles que le blanchiment de capitaux ou, tenant à la sécurité et à l’ordre public tel que le financement du terrorisme.
222. À cet égard, j’ajoute qu’il est vrai que le régime d’accès public aux informations des bénéficiaires effectifs concerne de manière globale l’ensemble de ces bénéficiaires effectifs, sans qu’il soit nécessaire que les personnes dont les données sont divulguées se trouvent, même indirectement, dans une situation susceptible de donner lieu à des soupçons de blanchiment de capitaux ou de financement du terrorisme. Il s’applique donc même à des personnes pour lesquelles il n’existe aucun indice de nature à laisser croire que leur comportement puisse avoir un lien, même indirect ou lointain, avec le blanchiment de capitaux ou le financement du terrorisme (124).
223. Toutefois, en troisième lieu, le régime d’accès public aux informations relatives aux bénéficiaires effectifs, outre qu’il n’entraîne pas d’ingérences graves dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, prévoit, à l’article 30, paragraphe 9, de la directive 2015/849, le système de dérogations à l’accès du grand public auxdites informations, mentionné aux points 182 et suivants des présentes conclusions. Ce système de dérogations a été explicitement introduit dans le but d’assurer une approche proportionnée et équilibrée et de garantir le respect des droits fondamentaux (125). Il participe pleinement à l’équilibre assuré par le législateur de l’Union entre les intérêts en présence et constitue un élément essentiel du régime d’accès public à l’information sur les bénéficiaires effectifs qui limite tout préjudice éventuel grave et prémuni ceux-ci contre d’éventuels abus à leurs droits fondamentaux (126).
224. L’approche retenue par la directive 2015/849 dans l’articulation, aux paragraphes 5 et 9 de l’article 30, entre, d’une part, l’accès public aux informations concernant les bénéficiaires effectifs et, d’autre part, le système de dérogations, est, par ailleurs, cohérente avec la jurisprudence de la Cour. En effet, il découle de celle-ci que, si dans la pondération à effectuer entre l’objectif d’intérêt public poursuivi et les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, au vu de l’importance de l’objectif d’intérêt général poursuivi par les limitations à ces droits, en relation avec la gravité modérée de l’ingérence, la nécessité de prévenir la criminalité grave et des possibles atteintes à la sécurité publique doit, en principe, prévaloir, il ne saurait toutefois être exclu que puissent exister des situations particulières dans lesquelles des raisons prépondérantes et légitimes tenant au cas concret de la personne concernée justifient exceptionnellement que l’accès aux données à caractère personnel la concernant inscrites dans le registre soit limité (127).
225. En outre, et en quatrième lieu, la directive 2015/849 prévoit l’application du RGPD au traitement des données à caractère personnel ayant lieu dans le cadre de ce régime. Dès lors, ce traitement est assujetti à des règles visant à garantir la sécurité et la protection des données en cause (128).
226. Dans ce contexte, afin de limiter la portée des ingérences et spécifiquement les risques, quoique limités, de profilage économique de la personne concernée, discutés au point 102 des présentes conclusions, les États membres, dans le cadre de leur marge de manœuvre octroyée par la directive 2015/849, sont tenus de mettre en œuvre des modalités d’accès aux données en cause, et en particulier des modalités de recherche dans la base de données constituant le registre, visant à minimiser les ingérences dans les droits fondamentaux des bénéficiaires effectifs.
227. Enfin, ainsi qu’il ressort des considérations exposées aux points 207 et 208 des présentes conclusions, afin de garantir que les personnes concernées, à savoir les bénéficiaires effectifs, disposent de garanties suffisantes permettant de les protéger efficacement contre les risques d’abus, la mise à disposition des informations conservées dans les registres nationaux des bénéficiaires effectifs doit être conditionnée à une inscription, notamment en ligne, de sorte que les organismes ou autorités nationales en charge de la tenue des registres des bénéficiaires effectifs puissent avoir connaissance de l’identité des personnes qui accèdent au registre et puissent, lorsque cela se révèle nécessaire pour garantir le respect des droits fondamentaux, notamment ceux garantis aux articles 7 et 8 de la Charte, mettre à la disposition du bénéficiaire effectif des informations relatives à ces personnes.
228. Ainsi interprétées, les dispositions de l’article 30, paragraphe 5, premier alinéa, paragraphe 5 bis et paragraphe 9, de la directive 2015/849 mettant en place le régime d’accès public aux informations sur les bénéficiaires effectifs, ne doivent pas être considérées comme étant invalides à la lumière du droit au respect de la vie privée et familiale et du droit à la protection des données à caractère personnel garantis, respectivement, aux articles 7 et 8 de la Charte.
229. En revanche, il ressort des considérations que j’ai effectuées aux points 105 à 107, 114 à 116, 159 et 165 des présentes conclusions que, à mon avis, l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 doit être déclaré partiellement invalide et que le troisième alinéa de cette disposition doit être déclaré invalide.
4. Conclusion sur la validité du régime d’accès public mis en place par la directive 2015/849
230. Il résulte de toutes les considérations qui précèdent que, à mon avis, il y a lieu de répondre à la première question et à la deuxième question, sous b), posées dans l’affaire C‑601/20, comme suit :
– l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 est invalide dans la mesure où il prévoit que tout membre du grand public est autorisé à avoir accès « au moins » aux données y indiquées en prévoyant ainsi la possibilité pour tout membre du grand public d’accéder à des données concernant les bénéficiaires effectifs autres que celles indiquées dans le même alinéa ;
– l’article 30, paragraphe 5, troisième alinéa, de la directive 2015/849 est invalide ;
– l’article 30, paragraphe 5 bis, de la directive 2015/849, lu à la lumière des articles 7, 8 et de l’article 52, paragraphe 1, de la Charte, doit être interprété en ce sens qu’il incombe aux États membres de garantir que les organismes ou autorités nationales en charge de la tenue des registres des bénéficiaires effectifs aient connaissance de l’identité des personnes qui accèdent audit registre ;
– l’article 30, paragraphe 9, de la directive 2015/849, lu à la lumière de la Charte, et notamment de l’article 51, paragraphe 1, de celle-ci, interprété en ce sens que les États membres ne disposent pas seulement de la faculté, de prévoir des dérogations à l’accès du grand public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques contenues dans les registres nationaux des bénéficiaires effectifs, mais sont tenus de les prévoir et de les accorder, lorsque, dans des circonstances exceptionnelles, cet accès exposerait le bénéficiaire effectif à un risque disproportionné d’atteinte à ses droits fondamentaux, tels que prévus par la Charte, est valide ;
– l’examen de la première question et de la deuxième question, sous b), posées dans l’affaire C‑601/20 n’a révélé aucun autre élément de nature à affecter la validité de l’article 30, paragraphes 5 et 9, de la directive 2015/849.
C. Sur la troisième question posée dans l’affaire C‑601/20 concernant l’interprétation du RGPD
231. Dans le cadre de la troisième question dans l’affaire C‑601/20, la juridiction de renvoi pose six sous-questions visant, en substance, à vérifier la compatibilité du régime d’accès public aux informations sur les bénéficiaires effectifs mis en place par la directive 2015/849 avec plusieurs dispositions du RGPD.
232. À cet égard, tout d’abord, j’ai exposé aux points 63 à 72 des présentes conclusions les raisons pour lesquelles, à mon avis, le RGPD, en tant que tel, ne peut pas constituer un paramètre de légalité pour apprécier la validité des dispositions des directives 2015/843 et 2018/849. J’ai également précisé que ces directives doivent cependant être interprétées de manière cohérente avec les dispositions du RGPD, conformément, d’ailleurs, à ce qui est explicitement prévu à l’article 41, paragraphe 1, de la directive 2015/843, telle que modifiée par la directive 2019/2177.
233. Ensuite, j’estime que, à la lumière des considérations exposées dans le cadre de l’analyse de la validité dudit régime d’accès public aux informations concernant les bénéficiaires effectifs, aux points 74 à 229, des présentes conclusions, il n’y a pas lieu de répondre à la troisième question, sous a) à e),posée dans l’affaire C‑601/20. En effet, tous les doutes exposés par la juridiction de renvoi dans le cadre de ces sous-questions au regard de différentes dispositions du RGDP ont reçu une réponse dans ladite analyse.
234. Il s’ensuit qu’il reste uniquement à examiner cette troisième question, sous f). Par cette sous-question, la juridiction de renvoi s’interroge en substance sur la relation entre le régime d’accès public aux informations concernant les bénéficiaires effectifs et les articles 44 à 50 du RGPD qui soumettent à des conditions strictes le transfert de données à caractère personnel vers un pays tiers, en particulier en raison du fait que les données d’un bénéficiaire effectif inscrites dans un registre de bénéficiaires effectifs sont accessibles dans tous les cas à tout membre du grand public sans justification d’un intérêt légitime et sans limitation quant à la localisation de ce public.
235. À cet égard, il convient de rappeler que le chapitre V du RGPD, comprenant les articles 44 à 55, régit les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale.
236. Dans ce contexte, ainsi que l’ont relevé la Commission et le gouvernement finlandais, l’article 49 du RGPD prévoit – en l’absence d’une décision d’adéquation, en vertu de l’article 45, paragraphe 3, du RGPD ou de garanties appropriées en vertu de l’article 46 du RGPD – un certain nombre de dérogations concernant des situations particulières dans lesquelles un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers peut avoir lieu.
237. En particulier, l’article 49, paragraphe 1, sous g), du RGPD régit spécifiquement les transferts effectués à partir de registres qui, en vertu du droit de l’Union ou du droit des États membres, sont destinés à fournir des informations au public.
238. Il ressort de cette disposition, ainsi que du paragraphe 2 de cet article, lus à la lumière du considérant 111 du RGPD, que cette dérogation s’applique lorsque premièrement, le transfert est effectué à partir d’un registre qui, conformément au droit de l’État membre de l’Union, est destiné à informer le public (et est ouvert à la consultation du public en général ou à toute personne pouvant justifier d’un intérêt légitime), deuxièmement, le transfert ne peut être effectué que dans la mesure où les conditions de consultation dans le droit de l’Union ou le droit d’un État membre sont respectées, et, troisièmement, le transfert ne peut porter sur la totalité des données à caractère personnel ou des catégories de données à caractère personnel contenues dans le registre.
239. À cet égard, j’observe que, ainsi que le mentionne à juste titre la Commission, l’article 49, paragraphe 1, sous g) et paragraphe 2, du RGPD s’applique spécifiquement pour tout transfert « au départ » d’un registre public. Or, le fait en soi qu’un registre soit public ne constitue pas en lui-même un transfert.
240. Il ressort des considérations qui précèdent qu’il convient de répondre à la troisième question, sous f), posée dans l’affaire C‑601/20, que les dispositions du chapitre V du RGPD doivent être interprétées en ce sens qu’elles ne s’opposent pas à un registre partiellement accessible au public, sans obligation de démontrer un intérêt légitime ni aucune limitation quant à la localisation du public. Toutefois, le transfert effectué à partir de ce registre ne peut être effectué, conformément à l’article 49, paragraphe 1, sous g), du RGPD que si les conditions de consultation du registre prévues par la loi sont remplies et pour autant que cette consultation n’implique pas l’intégralité du registre.
D. Sur l’interprétation de l’article 30, paragraphe 9, de la directive 2015/849 [première, deuxième et troisième questions dans l’affaire C‑37/20 et deuxième question, sous a), dans l’affaire C‑601/20]
241. Dans le cadre des questions posées dans l’affaire C‑37/20, ainsi que dans la deuxième question, sous a), posée dans l’affaire C‑601/20, la juridiction de renvoi interroge la Cour sur l’interprétation de l’article 30, paragraphe 9, de la directive 2015/849 qui prévoit un régime de dérogations à l’accès du grand public aux informations contenues dans le registre des bénéficiaires effectifs.
242. J’ai déjà examiné ce système et cette disposition aux points 182 à 192193 des présentes conclusions. Il convient cependant, sur la base des considérations effectuées auxdits points, d’analyser les questions spécifiques posées par la juridiction de renvoi.
1. Sur la notion de « circonstances exceptionnelles » (première question dans l’affaire C‑37/20)
243. La première question posées dans l’affaire C‑37/20 concerne la notion de « circonstances exceptionnelles », telle que prévue à l’article 30, paragraphe 9, de la directive 2015/849. Cette question se divise en deux parties.
244. Dans la première partie, la juridiction de renvoi demande, en substance, si l’article 30, paragraphe 9, de la directive 2015/849 doit être interprété en ce sens qu’un État membre peut se limiter à définir dans son droit national la notion de « circonstances exceptionnelles » prévue à cette disposition uniquement comme étant équivalente « à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation », notions qui, aux termes de ladite disposition, constituent en tout état de cause déjà une condition d’application des dérogations limitant l’accès du grand public aux informations concernant les bénéficiaires effectifs. Dans la seconde partie, la juridiction de renvoi s’interroge, en substance, quant à ses pouvoirs et aux critères qu’elle doit utiliser pour déterminer le contenu de la notion de « circonstances exceptionnelles », dans l’hypothèse où le droit national de transposition n’ait pas défini cette notion autrement que par un renvoi aux circonstances déjà expressément mentionnées à l’article 30, paragraphe 9, de la directive 2015/849.
245. À cet égard, je relève, tout d’abord, que le renvoi explicite au droit national, contenu à l’article 30, paragraphe 9, de la directive 2015/849 pour la définition des circonstances exceptionnelles qui justifient la prévision de dérogations limitant l’accès du grand public aux informations concernant les bénéficiaires effectifs, révèle l’intention du législateur de l’Union de laisser une marge d’appréciation aux États membres quant à l’identification de ces circonstances exceptionnelles.
246. Cependant, ainsi qu’il a été exposé aux points 186 et suivants des présentes conclusions, il ressort de la jurisprudence constante que, indépendamment de la marge d’appréciation dont ils disposent dans la transposition d’une directive, les États membres sont tenus d’assurer la protection des droits fondamentaux contre toute atteinte disproportionnée.
247. Il s’ensuit également desdits points que l’article 30, paragraphe 9, de la directive 2015/849, lu à la lumière de l’article 51, paragraphe 1, de la Charte, doit être interprété en ce sens que les États membres sont tenus d’accorder des dérogations à l’accès du grand public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques contenues dans les registres nationaux des bénéficiaires effectifs lorsque, dans des circonstances exceptionnelles, cet accès exposerait le bénéficiaire effectif à un risque disproportionné d’atteinte à ses droits fondamentaux, tels que prévus par la Charte.
248. Le devoir de protection incombant aux États membres n’est donc pas limité exclusivement aux risques disproportionnés dans les sept hypothèses de risques expressément spécifiées audit article 30, paragraphe 9, mais couvre les risques disproportionnés de violation de tous les droits fondamentaux des bénéficiaires effectifs.
249. Dans ces conditions, j’estime que l’article 30, paragraphe 9, de la directive 2015/849 doit être interprété en ce sens qu’il appartient aux États membres de définir dans leur droit national les situations qui constituent des « circonstances exceptionnelles » aux termes de cette disposition. Celle-ci ne contenant pas de prescription supplémentaire indiquant sous quelle forme les États membres doivent déterminer cette notion, rien n’empêche un État membre, comme l’a fait le Grand-Duché de Luxembourg, de définir les « circonstances exceptionnelles » uniquement par référence aux hypothèses déjà visées par ladite disposition, pour autant, toutefois, que la transposition de cette directive en droit national permette de protéger les bénéficiaires effectifs contre des atteintes disproportionnées à leurs droits fondamentaux.
250. Ainsi qu’il a été relevé au point 188 des présentes conclusions, le juge national est tenu d’interpréter le droit national d’une manière conforme à la directive 2015/849, mais il est également tenu de veiller à ne pas se fonder sur une interprétation de cette directive qui entrerait en conflit avec les droits fondamentaux. Il s’ensuit que ce juge doit se fonder sur une interprétation des dispositions de ladite directive autorisant des dérogations qui, tout en respectant leur libellé et en préservant leur effet utile, soit pleinement conforme aux droits fondamentaux garantis par la Charte (129).
251. Comme l’a affirmé à juste titre la Commission, à cette fin, le juge national peut être amené à devoir déterminer lui‑même concrètement la nature et la portée des circonstances exceptionnelles qui autorisent des dérogations à l’accès du grand public aux informations concernant les bénéficiaires effectifs, uniquement dans la mesure où cela est nécessaire pour protéger pleinement les droits fondamentaux de ces derniers.
252. Au regard de cette détermination que le juge national doit éventuellement effectuer afin d’interpréter la directive 2015/849 de manière conforme aux droits fondamentaux garantis par la Charte, je relève, premièrement, que ladite détermination doit tenir compte du fait que l’évaluation détaillée de la nature « exceptionnelle » des circonstances doit être effectuée au cas par cas, ainsi qu’il ressort du texte même de l’article 30, paragraphe 9, de cette directive.
253. Deuxièmement, dans cette détermination, le juge doit tenir compte de la circonstance que, dès lors que la disposition de l’article 30, paragraphe 9, de la directive 2015/849 prévoit des dérogations à une règle générale, à savoir celle de l’accès du public aux informations concernant les bénéficiaires effectifs, selon la jurisprudence constante de la Cour, elle doit, en principe, faire l’objet d’une interprétation stricte (130).
254. Troisièmement, dans ladite détermination, le juge national doit tenir compte du fait que l’utilisation du terme « exceptionnel », indique que les circonstances qui peuvent justifier la dérogation doivent être hors de l’ordinaire et donner lieu à un risque disproportionné d’atteinte aux droits fondamentaux (131). Dans ce contexte, la mention explicite dans la disposition en cause des risques concernant les droits à la vie, à l’intégrité et à la sureté de la personne, respectivement protégés par les articles 2, 3 et 6 de la Charte, donne une référence pour déterminer le niveau, élevé, de gravité d’atteinte aux droits fondamentaux qui peut justifier une dérogation.
2. Sur la notion de « risque » (deuxième question dans l’affaire C‑37/20)
255. La deuxième question préjudicielle posée dans l’affaire C‑37/20, concerne la notion de « risque » prévue à l’article 30, paragraphe 9, de la directive 2015/849. Elle se divise en trois parties.
256. Dans la première partie de cette question, la juridiction de renvoi demande, en substance, si l’article 30, paragraphe 9, de la directive 2015/849 doit être interprété en ce sens que l’existence d’un « risque disproportionné » constitue une raison autonome qui justifie la dérogation à l’accès du public aux informations concernant les bénéficiaires effectifs ou si, alternativement, l’exigence que le risque soit disproportionné constitue une condition s’appliquant aux risques spécifiques mentionnés dans cette disposition, à savoir le risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation.
257. Cette question trouve sa raison d’être dans la circonstance, relevée par la juridiction de renvoi, qu’il existe une divergence rédactionnelle entre différentes versions linguistiques de l’article 30, paragraphe 9, de la directive 2015/849, ainsi qu’une divergence, dans certaines versions linguistiques, entre le texte de cette disposition et la formulation du considérant 36 de la directive 2018/843 qui explique et motive la version modifiée de la directive 2015/849 (132).
258. Or, selon la jurisprudence constante, la formulation utilisée dans l’une des versions linguistiques d’une disposition du droit de l’Union ne saurait servir de base unique à l’interprétation de cette disposition ou se voir attribuer un caractère prioritaire par rapport aux autres versions linguistiques. Les dispositions du droit de l’Union doivent, en effet, être interprétées et appliquées de manière uniforme, à la lumière des versions établies dans toutes les langues de l’Union. En cas de disparité entre les diverses versions linguistiques d’un texte du droit de l’Union, la disposition en cause doit être interprétée en fonction du contexte et de la finalité de la réglementation dont elle constitue un élément (133).
259. Cela étant, il ressort des considérations effectuées aux points 185 à 192 des présentes conclusions, que ce n’est pas uniquement l’existence d’un risque disproportionné dans les sept hypothèses de risques expressément spécifiées à l’article 30, paragraphe 9, de la directive 2015/849 qui peut justifier une dérogation à l’accès du public aux informations concernant le bénéficiaire effectif, mais tout risque disproportionné, dans des circonstances exceptionnelles, d’atteinte aux droits fondamentaux du bénéficiaire effectif.
260. En ce qui concerne, spécifiquement, l’appréciation visant à établir l’existence d’un tel risque disproportionné d’atteinte aux droits fondamentaux du bénéficiaire effectif, elle doit être effectuée au cas par cas. Cette appréciation doit inclure une évaluation détaillée des circonstances exceptionnelles et elle doit se fonder sur une analyse de tous les éléments pertinents du cas concret.
261. Par la deuxième partie de cette deuxième question posée dans l’affaire C‑37/20, la juridiction de renvoi demande, en substance, si l’article 30, paragraphe 9, de la directive 2015/849 doit être interprété en ce sens qu’il y a lieu de déterminer l’existence ou le caractère disproportionné du risque qui conditionne la limitation d’accès aux informations concernant les bénéficiaires effectifs en tenant compte des seuls liens qu’entretient le bénéficiaire effectif en cause avec l’entité morale à l’égard de laquelle il est demandé de limiter l’accès du public aux informations ou en tenant compte également des liens entre ce bénéficiaire effectif et d’autres entités morales. Dans cette dernière hypothèse, la juridiction de renvoi souhaite savoir s’il faut tenir compte uniquement de la qualité de bénéficiaire effectif ou de tout lien quelconque avec d’autres entités morales. Toujours dans cette hypothèse, elle souhaite savoir si la nature du lien a une incidence sur l’appréciation de l’existence du risque et de son ampleur.
262. À cet égard, je relève qu’il n’y a pas d’indication précise dans le texte de la directive 2015/849 sur ces questions. Toutefois, ainsi qu’il a été relevé au point 260 des présentes conclusions, l’appréciation visant à établir l’existence d’un risque disproportionné d’atteinte aux droits fondamentaux du bénéficiaire effectif doit être effectuée au cas par cas, en évaluant les circonstances exceptionnelles et en visant à assurer une protection adéquate du bénéficiaire effectif contre des atteintes disproportionnées à ses droits fondamentaux.
263. Dans ces conditions, il ne peut pas être exclu que, dans certains cas, afin d’assurer une telle protection adéquate, il soit nécessaire de tenir compte non seulement des liens entre le bénéficiaire effectif et l’entité morale qui fait l’objet de la demande de dérogation spécifique, mais également des liens que ce bénéficiaire effectif entretient avec d’autres entités morales.
264. À cet égard, toutefois, d’une part, je partage la position de la Commission selon laquelle, dès lors qu’il s’agit d’apprécier les risques qu’encourt une personne en tant que bénéficiaire effectif d’une ou de plusieurs entités morales, les liens en question doivent être inhérents à la qualité de bénéficiaire effectif de ces entités, de sorte que d’autres liens quelconques ne peuvent pas, en principe, être pris en considération dans le cadre de l’appréciation.
265. D’autre part, il incombe au bénéficiaire ou à l’entité qui demande de se voir octroyer le bénéfice d’une dérogation à l’accès du public aux informations de prouver que les liens que le bénéficiaire effectif entretient avec des entités morales autres que celles visées par la demande de dérogation constituent un élément pertinent pour l’appréciation du risque disproportionné d’atteinte à ses droits fondamentaux et que ces liens justifient ou étayent l’existence d’un tel risque disproportionné ou de son caractère disproportionné. Une telle répartition de la charge de la preuve (134), mettant à la charge du demandeur la démonstration de l’existence et de la pertinence desdits liens aux fins de l’octroi de la dérogation, est essentielle afin d’éviter que, comme envisagé par le gouvernement autrichien, les autorités compétentes des États membres se retrouvent soumises à l’obligation de procéder d’office à des enquêtes d’une portée irraisonnable afin de pouvoir exclure l’existence de risques disproportionnés d’atteinte aux droits fondamentaux des bénéficiaires effectifs.
266. Par la troisième partie de la deuxième question posée dans l’affaire C‑37/20, la juridiction de renvoi demande, en substance, si l’article 30, paragraphe 9, de la directive 2015/849 doit être interprété en ce sens qu’une dérogation à l’accès du public aux informations concernant le bénéficiaire effectif peut être accordée lorsque ces informations sont aisément accessibles aux tiers par d’autres voies d’information.
267. Sur ce point, j’estime, à l’instar de la Commission et du gouvernement autrichien que, dès lors que, ainsi qu’il a déjà été relevé aux points 260 et 262 des présentes conclusions, la directive 2015/849 impose aux États membres de veiller à ce que les dérogations à l’accès du public aux informations sur le bénéficiaire effectif soient octroyées sur la base d’une évaluation détaillée de la nature exceptionnelle des circonstances et en faisant référence aux risques découlant de la divulgation de ces informations, l’article 30, paragraphe 9, de cette directive doit être interprété en ce sens qu’il exclut implicitement la possibilité qu’une telle dérogation soit octroyée lorsque lesdites informations sont aisément accessibles aux tiers par d’autres voies d’information.
3. Sur les exigences de preuve du risque disproportionné [deuxième question, sous a), dans l’affaire C‑601/20]
268. Par la deuxième question, sous a), posée dans l’affaire C‑601/20, la juridiction de renvoi s’interroge en substance sur les exigences de la preuve du risque disproportionné et des circonstances exceptionnelles qui doit être apportée pour justifier une dérogation aux termes de l’article 30, paragraphe 9, de la directive 2015/849.
269. En ce qui concerne, en premier lieu, la charge de la preuve, il n’est pas contestée que celle-ci pèse sur le bénéficiaire effectif. C’est celui-ci qui doit démontrer à l’autorité ou l’organisme en charge de la tenue du registre que les conditions pour une dérogation aux termes de l’article 30, paragraphe 9, de ladite directive sont remplies. Dans cette perspective, ladite autorité ou ledit organisme ne peuvent pas être tenus de réaliser des activités d’enquête propres qui pourraient avoir, potentiellement, une portée globale pour déterminer l’existence des circonstances exceptionnelles et du risque disproportionné. Ladite autorité ou ledit organisme doivent se fonder sur les éléments fournis par le bénéficiaire effectif au soutien de sa demande d’application de la dérogation.
270. En ce qui concerne, en deuxième lieu, le niveau de la preuve, j’estime que le bénéficiaire effectif doit établir l’existence du risque disproportionné d’atteinte à ses droits fondamentaux et l’existence de circonstances exceptionnelles avec un degré suffisant de probabilité.
271. Dans cette perspective, la simple présence d’un risque éloigné ou hypothétique d’atteinte ne saurait être suffisant. Aussi, la perception du risque disproportionné ne peut pas être subjective, mais doit se fonder sur des éléments objectifs concrets, réels et actuels. À cette fin, le bénéficiaire effectif doit apporter des indications concrètes, précises et substantielles quant aux menaces d’atteinte à ses droits fondamentaux et aux circonstances exceptionnelles.
4. Sur le critère de la « disproportion » (troisième question dans l’affaire C‑37/20)
272. Dans le cadre de la troisième question posée dans l’affaire C‑37/20, la juridiction de renvoi s’interroge sur le critère de la « disproportion » du risque justifiant la limitation de l’accès aux informations, tel que prévu à l’article 30, paragraphe 9, de la directive 2015/843.
273. Cette juridiction demande quels sont les intérêts divergents qui doivent être pris en considération dans le cadre de l’appréciation de l’existence d’un risque disproportionné pour le bénéficiaire effectif qui, en vertu de l’article 30, paragraphe 9, de la directive 2015/849, justifie une dérogation à l’accès du public aux informations concernant celui‑ci. Elle considère que ce critère fait appel, d’une façon générale, à la mise en balance entre deux intérêts pareillement dignes de protection et s’interroge sur la question de savoir quels sont les intérêts conflictuels à ménager dans le cadre de son application. À son avis, sembleraient être opposés, d’une part, l’objectif de transparence poursuivi par la directive 2015/849 et, d’autre part, la protection de l’intégrité physique, morale et patrimoniale du bénéficiaire effectif, visés à travers le souci de prévention d’un risque en général et/ou des risques spécifiques indiqués à l’article 30, paragraphe 9, de cette directive. Toutefois, le considérant 36 de la directive 2018/843 évoquerait également le droit au respect de la vie privée et le droit à la protection des données à caractère personnel.
274. À cet égard, il a été relevé aux points 138 et suivants des présentes conclusions que l’objectif de prévention du blanchiment de capitaux et du financement du terrorisme au moyen du renforcement du niveau de transparence au regard des bénéficiaires effectifs des sociétés et autres entités juridiques constitue l’objectif primaires du régime d’accès public aux informations concernant les bénéficiaires effectifs mis en place à la suite des modifications introduites par la directive 2018/843. Cet objectif ne relève, toutefois, pas directement des droits fondamentaux. Il a également été observé que les dérogations au principe de l’accès du public à ces informations, prévues à l’article 30, paragraphe 9, de la directive 2015/849, qui en tant que telles sont d’interprétation stricte, visent à trouver un juste équilibre entre ledit objectif, qui, comme indiqué aux points 38 à 48, 144 et 189 des présentes conclusions, est lié à des exigences d’une portée de droit primaire, et le respect des droits fondamentaux des bénéficiaires effectifs, comme il résulte d’ailleurs expressément du considérant 34 de la directive 2018/843. En outre, ainsi qu’il ressort des principes jurisprudentiels mentionnés aux points 188 et 250 des présentes conclusions, l’interprétation de la directive 2015/849 ne doit pas entrer en conflit avec les droits fondamentaux prévus par la Charte.
275. Dans ce contexte, plutôt que se référer, comme l’a fait la juridiction de renvoi, à une mise en balance d’« intérêts divergents », il me semble plus approprié d’encadrer l’analyse en se référant à l’existence de dérogations au principe général de l’accès du public qui visent à prévenir des atteintes aux droits fondamentaux du bénéficiaire effectif, pouvant, dans des circonstances exceptionnelles, découler de cet accès. Dans ces conditions, la tâche des autorités nationales chargées d’apprécier une demande visant à obtenir une dérogation est celle de vérifier l’existence de circonstances exceptionnelles qui exposeraient le bénéficiaire effectif à un risque disproportionné d’atteinte à l’un ou à plusieurs des droits fondamentaux prévus par la Charte.
276. Or, les raisons justifiant l’accès du public aux informations sur les bénéficiaires effectifs sont explicitées aux considérants 30 et 31 de la directive 2018/843 et ont été mentionnées aux points 139 à 142 des présentes conclusions. Elles ont trait, entre autres, premièrement, à la possibilité d’un contrôle accru des informations par la société civile qui concourt à préserver la confiance dans l’intégrité des transactions commerciales et du système financier, deuxièmement, à la contribution à la lutte contre le recours abusif à des sociétés et à d’autres constructions juridiques aux fins du blanchiment de capitaux ou du financement du terrorisme, ainsi que, troisièmement, à la facilitation de la mise à disposition efficace et en temps utile d’informations pour les institutions financières et les autorités impliquées dans la lutte contre ces infractions.
277. En outre, j’ai déjà relevé aux points 220 et 221 des présentes conclusions que, ainsi qu’il ressort de la jurisprudence de la Cour, il apparaît justifié que les personnes physiques choisissant de participer aux échanges économiques en tant que bénéficiaires effectifs de sociétés ou d’autres entités juridiques, soient obligées de mettre à disposition et rendre accessibles certaines informations permettant de les identifier en tant que bénéficiaires effectifs de ces entités morales, d’autant plus qu’elles sont conscientes de cette obligation au moment où elles décident de s’engager dans une telle activité (135).
278. Toutefois, dans le cadre de l’appréciation à effectuer dans l’application de l’article 30, paragraphe 9, de la directive 2015/849, s’il résulte de ce qui précède que, dans la pondération à effectuer dans le cadre de cette disposition, prévaut, en tant que principe général, l’intérêt du public à avoir accès aux informations concernant les bénéficiaires effectifs, il est expressément prévu que puissent exister des situations particulières dans lesquelles des raisons prépondérantes et légitimes tenant au cas concret du bénéficiaire effectif concerné justifient exceptionnellement que l’accès du public aux informations concernant celui‑ci soit limité afin d’éviter de l’exposer à un risque disproportionné d’atteinte à ses droits fondamentaux (136).
279. Eu égard à toutes les considérations qui précèdent, il convient, à mon avis, de répondre à la troisième question en ce sens que, dans le cadre de l’appréciation de l’existence d’un risque disproportionné pour le bénéficiaire effectif qui, en vertu de l’article 30, paragraphe 9, de la directive 2015/849, justifie une dérogation à l’accès du public aux informations concernant celui‑ci, il convient de prendre en compte, d’une part, les risques spécifiques mentionnés à cette disposition, ainsi que les droits fondamentaux de la personne concernée, notamment le droit au respect de la vie privée et le droit à la protection des données personnelles, protégés, respectivement, par les articles 7 et 8 de la Charte, et, d’autre part, l’intérêt du public et de la société dans son ensemble à connaître l’identité des bénéficiaires effectifs en vue de la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme.
IV. Conclusion
280. À la lumière des considérations qui précèdent, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par le tribunal d’arrondissement de Luxembourg (Luxembourg) dans les affaires C‑37/20 et C‑602/20 :
1) L’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 du Parlement européen et du Conseil, du 20 mai 2015, relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) no 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission, telle que modifiée par la directive (UE) 2018/843 du Parlement et du Conseil, du 30 mai 2018, est invalide dans la mesure où il prévoit que tout membre du grand public est autorisé à avoir accès « au moins » aux données y indiquées, en prévoyant ainsi la possibilité pour tout membre du grand public d’accéder à des données concernant les bénéficiaires effectifs autres que celles indiquées dans le même alinéa.
2) L’article 30, paragraphe 5, troisième alinéa, de la directive 2015/849, telle que modifiée par la directive 2018/843, est invalide.
3) L’article 30, paragraphe 5 bis, de la directive 2015/849, telle que modifiée par la directive 2018/843, lu à la lumière des articles 7, 8 et de l’article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne, doit être interprété en ce sens qu’il incombe aux États membres de garantir que les organismes ou autorités en charge de la tenue des registres des bénéficiaires effectifs aient connaissance de l’identité des personnes qui accèdent audit registre.
4) L’article 30, paragraphe 9, de la directive 2015/849, telle que modifiée par la directive 2018/843, lu à la lumière de la charte des droits fondamentaux, et notamment de l’article 51, paragraphe 1, de celle-ci, interprété en ce sens que les États membres ne disposent pas seulement de la faculté, de prévoir des dérogations à l’accès du grand public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques contenues dans les registres nationaux des bénéficiaires effectifs, mais sont tenus de les prévoir et de les accorder , lorsque, dans des circonstances exceptionnelles, cet accès exposerait le bénéficiaire effectif à un risque disproportionné d’atteinte à ses droits fondamentaux, tels que prévus par la charte est valide
5) L’examen de la première question et de la deuxième question, sous b), posées dans l’affaire C‑601/20, n’a révélé aucun autre élément de nature à affecter la validité de l’article 30, paragraphes 5 et 9, de la directive 2015/849, telle que modifiée par la directive 2018/843.
6) Les dispositions du chapitre V du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) doivent être interprétées en ce sens qu’elles ne s’opposent pas à un registre partiellement accessible au public, sans obligation de démontrer un intérêt légitime ni aucune limitation quant à la localisation du public. Toutefois, le transfert effectué à partir de ce registre ne peut être effectué, conformément à l’article 49, paragraphe 1, sous g), de ce règlement, que si les conditions de consultation du registre prévues par la loi sont remplies et pour autant que cette consultation n’implique pas l’intégralité du registre.
7) L’article 30, paragraphe 9, de la directive 2015/849, telle que modifiée par la directive 2018/843, doit être interprété en ce sens qu’il appartient aux États membres de définir dans leur droit national les situations qui constituent des « circonstances exceptionnelles » aux termes de cette disposition. Celle-ci ne contenant pas de prescription supplémentaire indiquant sous quelle forme les États membres doivent déterminer cette notion, rien n’empêche un État membre de définir les « circonstances exceptionnelles » uniquement par référence aux hypothèses déjà visées par ladite disposition, pour autant, toutefois, que la transposition de cette directive en droit national permette de protéger les bénéficiaires effectifs contre des atteintes disproportionnées à leurs droits fondamentaux. À cette fin, le juge national peut être amené à devoir déterminer lui‑même concrètement la nature et la portée des circonstances exceptionnelles qui autorisent des dérogations à l’accès du grand public aux informations concernant les bénéficiaires effectifs, uniquement dans la mesure où cela est nécessaire pour protéger pleinement les droits fondamentaux de ces derniers. Cette détermination doit tenir compte du fait, premièrement, que l’évaluation détaillée de la nature « exceptionnelle » des circonstances doit être effectuée au cas par cas, deuxièmement, que, s’agissant des dérogations à une règle générale, la disposition en cause doit, en principe, faire l’objet d’une interprétation stricte et, troisièmement, que les circonstances qui peuvent justifier la dérogation doivent être hors de l’ordinaire et donner lieu à une risque disproportionné d’atteinte aux droits fondamentaux.
8) L’article 30, paragraphe 9, de la directive 2015/849, telle que modifiée par la directive 2018/843, doit être interprété en ce sens que l’exigence de la disproportion du risque constitue une condition s’appliquant aux risques spécifiques mentionnés à cette disposition, à savoir le risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ainsi que de toute violation des droits fondamentaux du bénéficiaire effectif qui justifie une dérogation à l’accès du public aux informations concernant celui‑ci. L’existence et le caractère disproportionné d’un tel risque peuvent, le cas échéant, être déterminés en tenant compte des liens que le bénéficiaire effectif en cause entretient avec des sociétés, et autres entités juridiques, ainsi que des fiducies/trusts et des constructions juridiques présentant une structure ou des fonctions similaires à celles des fiducies/trusts, en qualité de bénéficiaire effectif de ces entités, autres que celle pour laquelle il est demandé de déroger à l’accès du public aux informations le concernant. Il incombe toutefois au bénéficiaire ou à l’entité qui demande le bénéfice d’une dérogation à l’accès du public aux informations de prouver que ces liens constituent un élément pertinent qui justifie ou étaye l’existence d’un risque disproportionné d’atteinte aux droits fondamentaux du bénéficiaire effectif en cause. Ledit article 30, paragraphe 9, exclut la possibilité qu’une dérogation à l’accès du public aux informations concernant un bénéficiaire effectif soit octroyée lorsque ces informations sont aisément accessibles aux tiers par d’autres voies d’information.
9) Il revient au bénéficiaire effectif intéressé d’apporter la preuve du risque disproportionné et des circonstances exceptionnelles qui peuvent justifier une dérogation aux termes de l’article 30, paragraphe 9, de la directive 2015/849, telle que modifiée par la directive 2018/843. À cette fin, le bénéficiaire effectif doit établir l’existence du risque disproportionné d’atteinte à ses droits fondamentaux et de l’existence de circonstances exceptionnelles avec un degré suffisant de probabilité et doit apporter des indications concrètes, précises et substantielles quant aux menaces d’atteinte à ses droits fondamentaux et aux circonstances exceptionnelles.
10) Dans le cadre de l’appréciation de l’existence d’un risque disproportionné pour le bénéficiaire effectif qui, en vertu de l’article 30, paragraphe 9, de la directive 2015/849, telle que modifiée par la directive 2018/843, justifie une dérogation à l’accès du public aux informations concernant celui‑ci, il convient de prendre en compte, d’une part, les risques spécifiques mentionnés à cette disposition, ainsi que les droits fondamentaux de la personne concernée, notamment le droit au respect de la vie privée et le droit à la protection des données personnelles, protégés, respectivement, par les articles 7 et 8 de la charte des droits fondamentaux, et, d’autre part, l’intérêt du public et de la société dans son ensemble à connaître l’identité des bénéficiaires effectifs en vue de la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme.